Musafaha na WireGuard yana aiki, amma rukunin cibiyar sadarwar ofis ba ya amsawa

Musafahar tana ƙarewa, wg show yana ba da rahoton canja wuri na kwanan nan, kuma adireshin ramin uwar garke yana amsa ping. Amma wani mai masauki a LAN ɗin uwar garke ba ya amsawa. Sharadi uku dole ne su kasance a lokaci ɗaya: abokin ciniki dole ne ya yi hanyar prefix ɗin LAN zuwa cikin ramin, uwar garke dole ne ta tura fakiti, kuma amsar tana buƙatar hanya ta dawowa. Idan ɗaya daga cikin ukun ya ɓace, alamar iri ɗaya ce.

AllowedIPs jeri ne na shiga kuma tebur ne na hanyoyi

A kan abokin ciniki, jerin AllowedIPs yana yanke hukunci kan abin da za a iya aikawa ga wannan takwaransa da kuma waɗanne hanyoyi WireGuard ke girka. Shigarwar takwaransa da ke jera adireshin ramin uwar garke kawai tana girka hanya ɗaya ta mai masauki, don haka wuraren LAN ba sa shiga ramin. Ƙara prefix ɗin LAN shine abu na farko da za a tabbatar, kuma shine canjin da ya fi yawan ɓacewa bayan kwafin tsari. Takwaransa da aka faɗaɗa zuwa hanyar da ba ta dace ba wani tsari ne daban, kuma zai motsa zirga-zirgar intanet ɗin abokin ciniki ma.

Riƙe hanyar mai masauki da prefix ɗin LAN a matsayin shigarwa daban. Idan ofis tana da rukunan cibiyar sadarwa biyu, dukansu suna cikin jerin, kuma ɓataccen prefix na biyu yana haifar da gazawa da ke kama da zaɓi maimakon cikakkiya.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Turawa da fassara suna kan uwar garke

Uwar garke tana buƙatar kunna turawar IP, ƙa'idar turawa da ke karɓar zirga-zirgar da ke fitowa daga ramin, da ƙa'idar fassara zuwa ga maɓallin LAN ɗinta. Fassarar ita ce ke sa tsarin yin aiki ba tare da taɓa kowane mai masauki a cibiyar sadarwar ofis ba. Sannan amsoshin suna komawa ga uwar garke maimakon adireshin da LAN ba ta taɓa jin labarinsa ba. Idan babu ita, kowane mai masauki yana buƙatar hanya zuwa rukunin ramin da ƙa'idar katangar wuta da ke ba da izini, wanda ba safai ake karɓa a cibiyar sadarwar da wani ke sarrafawa.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Ƙa'idojin da aka ƙara da hannu suna ɓacewa a lokacin sake kunnawa, don haka ɗaure su ga maɓallin tare da umarnin hook a cikin tsarin uwar garke. Saitin ƙa'idoji da ya fi maɓallinsa tsayi shine yadda na'ura ke ƙarshe tana fassara zirga-zirga don ramin da ba ya wanzu kuma.

Lokacin da LAN ta ƙaura amma ƙa'idar ba ta ƙaura ba

Maye gurbin na'urar hanya da ke sake lambobi rukunin ofis shine sigar gargajiya ta wannan gazawa. Ramin yana ci gaba da aiki, musafahar tana ci gaba da sabo, kuma babu abin da ke bayan uwar garke da ke amsawa, saboda ƙa'idar fassarar har yanzu tana ambaton tsohon adireshin. Rubutun masu shigarwa sukan saka adireshin LAN ɗin uwar garke cikin ƙa'idar POSTROUTING, kuma bayan sake lambobi wannan adireshin ba ya kan kowane maɓalli. Sannan ana sake rubuta fakiti zuwa wurin da ba zai iya amsawa ba.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Kwatanta fitarwar biyu. Wurin fassara da bai bayyana a jerin maɓallan ba shine kuskuren, kuma gyara shi canji ne na layi ɗaya da zarar ka gan shi. Ƙa'idar na iya zama a cikin naúrar da aka ƙirƙira maimakon cikin tsarin WireGuard, don haka sake loda wannan naúrar bayan gyara kuma tabbatar da cewa tashin gaba ba zai sake rubuta canjinka ba.

Rukunai biyu a bayan NAT suna buƙatar wurin haɗuwa

Lokacin da babu wani ɓangare da ke karɓar haɗin shigowa, amsar da ta dace ita ce ƙaramin mai masauki mai adireshin jama'a da maɓallan WireGuard guda biyu. Kowace rukuni tana haɗawa waje, mai masaukin tsakiya yana jera LAN ɗin kowane takwaransa a cikin AllowedIPs, wato jerin nasa, kuma turawa tana ɗaukar fakiti tsakanin ramukan biyu. Babu abin da ke cikin katangar wuta ta kowane ɓangare da za a canza, wanda shine dalilin da yasa wannan tsari ke yaɗuwa cikin sauƙi.

Hanya tsakanin rukunai tana kiyaye adireshin tushen asali kuma saboda haka tana kiyaye rikodin kowane mai masauki da ma'ana. Fassara a mai masaukin tsakiya ya fi sauƙi idan LAN ɗin biyu sun yi karo, amma a farashin rasa asalin tushe a cikin rikodin. Yanke shawara kan wace dabi'a ce mai muhimmanci kafin ka zaɓa.

Raba matakan da dubawa huɗu

Yi dubawa ɗaya a kowane mataki maimakon canza abubuwa uku da fatan. Na farko yana nuna shekarun musafaha da ƙididdiga ga kowane takwaransa. Na biyu yana nuna ko abokin ciniki da gaske yana tura wannan wurin zuwa cikin ramin. Na uku da na huɗu suna gaya maka ko buƙatar ta iso da ko wata manufa ta jefar da ita bayan isowa.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Buƙatar da ta iso kuma ba ta haifar da amsa tana nuna hanyar amsa ko mai masaukin LAN. Buƙatar da ba ta taɓa zuwa ba tana nuna AllowedIPs ko hanyar abokin ciniki. Waɗannan sakamakon biyu suna buƙatar gyare-gyare daban-daban, kuma kamawa ce ke bambanta su.