ਹੋਮ VPN ਸਰਵਰ ਬਨਾਮ ਕਲਾਊਡ ਸਰਵਰ: ਤੁਹਾਡੇ NAS ਤੱਕ ਕੌਣ ਪਹੁੰਚਦਾ ਹੈ?
ਟਨਲ ਉੱਠਦੀ ਹੈ, ਪਰ ਘਰ ਦਾ NAS ਅਪਹੁੰਚ ਰਹਿੰਦਾ ਹੈ। ਜਿਸ ਸਰੋਤ ਨੂੰ ਪਹਿਲਾਂ ਛੂਹਣਾ ਹੈ ਉਸ ਦੇ ਆਧਾਰ ਤੇ endpoint ਦੀ ਥਾਂ ਚੁਣੋ, ਫਿਰ ਰਸਤਾ ਜਾਂਚੋ।
ਟਨਲ ਉੱਠਦੀ ਹੈ, ਕਲਾਇੰਟ ਹਰਾ ਬਿੰਦੂ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ssh 192.168.1.20 ਫਿਰ ਵੀ ਟਾਈਮਆਉਟ ਹੋਣ ਤੱਕ ਲਟਕਦੀ ਰਹਿੰਦੀ ਹੈ। ਛੋਟਾ ਕਲਾਊਡ ਇੰਸਟੈਂਸ ਕਿਰਾਏ ਤੇ ਲੈ ਕੇ ਉਸ ਉੱਤੇ WireGuard ਲਗਾਉਣ ਤੋਂ ਬਾਅਦ ਮੈਨੂੰ ਠੀਕ ਇਹੀ ਮਿਲਿਆ: ਹੈਂਡਸ਼ੇਕ ਠੀਕ, DNS ਠੀਕ, ਅਤੇ ਮੇਰੇ ਡੈਸਕ ਉੱਤੇ ਰੱਖਿਆ NAS ਉੱਨਾ ਹੀ ਅਪਹੁੰਚ ਜਿਵੇਂ ਚੰਦ ਉੱਤੇ ਹੋਵੇ। ਟਨਲ ਵਿੱਚ ਕੋਈ ਕਮੀ ਨਹੀਂ ਸੀ। Endpoint ਉਸ ਨੈੱਟਵਰਕ ਵਿੱਚ ਸੀ ਜਿਸਦਾ ਮੇਰੇ ਘਰ ਤੱਕ ਕੋਈ ਰਸਤਾ ਨਹੀਂ ਸੀ। Endpoint ਦੀ ਥਾਂ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਨੈੱਟਵਰਕ ਨੇੜੇ ਹਨ, ਇਸ ਲਈ ਇਸ ਨੂੰ ਪਹਿਲਾਂ ਛੂਹਣ ਵਾਲੇ ਸਰੋਤ ਦੇ ਆਧਾਰ ਤੇ ਚੁਣੋ ਅਤੇ ਹੋਸਟਿੰਗ ਦੀ ਤੁਲਨਾ ਬਾਅਦ ਵਿੱਚ ਕਰੋ।
ਟਨਲ ਸਿਰਫ਼ ਉਹਨਾਂ ਨੈੱਟਵਰਕਾਂ ਤੱਕ ਪਹੁੰਚਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ endpoint ਰੂਟ ਕਰ ਸਕਦਾ ਹੈ
VPN ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਨੂੰ endpoint ਦੇ ਆਪਣੇ ਰਾਊਟਿੰਗ ਡੋਮੇਨ ਅੰਦਰ ਪਤਾ ਦਿੰਦਾ ਹੈ। ਜਦੋਂ ਕਲਾਇੰਟ 192.168.1.20 ਤੇ ਪੈਕਟ ਭੇਜਦਾ ਹੈ, endpoint ਨੂੰ ਜਾਣਨਾ ਪੈਂਦਾ ਹੈ ਕਿ ਉਹ ਕਿੱਥੇ ਜਾਂਦਾ ਹੈ। ਕਲਾਊਡ VM ਦੀ ਸਾਰਣੀ ਪ੍ਰਦਾਤਾ ਦੇ VPC ਸਬਨੈੱਟ ਜਾਣਦੀ ਹੈ; ਤੁਹਾਡੇ LAN ਬਾਰੇ ਉਸ ਨੇ ਕਦੇ ਨਹੀਂ ਸੁਣਿਆ। ਜੁੜਿਆ ਹੋਣਾ ਅਤੇ ਪਹੁੰਚਯੋਗ ਹੋਣਾ ਦੋ ਵੱਖਰੇ ਤੱਥ ਹਨ, ਅਤੇ ਘਰ ਬਨਾਮ ਕਲਾਊਡ ਦੀ ਬਹੁਤੀ ਉਲਝਣ ਪਹਿਲੇ ਨੂੰ ਦੂਜੇ ਦਾ ਸਬੂਤ ਮੰਨਣ ਨਾਲ ਆਉਂਦੀ ਹੈ।
ਇੱਕ ਕਮਾਂਡ ਇਸ ਨੂੰ ਤੈਅ ਕਰਦੀ ਹੈ। Endpoint ਤੇ ip route get 192.168.1.20 ਜਾਂ ਤਾਂ LAN ਇੰਟਰਫੇਸ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ ਜਾਂ ਡਿਫਾਲਟ ਰਸਤੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਘਰ ਦੀ ਮਸ਼ੀਨ ਤੇ ਜਵਾਬ LAN ਪਾਸੇ ਹੈ। ਕਲਾਊਡ ਇੰਸਟੈਂਸ ਤੇ ਪੈਕਟ ਇੰਟਰਨੈੱਟ ਵੱਲ ਨਿਕਲ ਕੇ ਮਰ ਜਾਂਦਾ ਹੈ। net.ipv4.ip_forward=1 ਚਾਲੂ ਕਰਨਾ ਅਤੇ MASQUERADE ਨਿਯਮ ਜੋੜਨਾ ਇਸ ਨੂੰ ਨਹੀਂ ਬਦਲਦਾ, ਕਿਉਂਕਿ ਘਰ ਵਾਲੇ ਪਾਸੇ ਕੁਝ ਕਲਾਊਡ ਵਿੱਚ ਲਿੰਕ ਖ਼ਤਮ ਨਾ ਕਰੇ ਤਾਂ ਅੱਗੇ ਭੇਜਣ ਲਈ ਕੁਝ ਨਹੀਂ ਹੁੰਦਾ।
ਘਰ ਦੇ ਕੇਸ ਦਾ ਦੂਜਾ ਅੱਧ ਹੈ: ਵਾਪਸੀ ਦਾ ਰਸਤਾ। ਟਨਲ ਬਕਸੇ ਰਾਹੀਂ LAN ਛੱਡਣ ਵਾਲੇ ਪੈਕਟ NAT ਹੁੰਦੇ ਹਨ, ਜਾਂ LAN ਨੂੰ ਟਨਲ ਸਬਨੈੱਟ ਵੱਲ ਸਥਿਰ ਰਸਤਾ ਚਾਹੀਦਾ ਹੈ। ਜਦੋਂ ਸਿਰਫ਼ ਇੱਕ ਦਿਸ਼ਾ ਚੱਲਦੀ ਹੈ, ਜਾਂਚੋ sysctl net.ipv4.conf.all.rp_filter। ਸਖ਼ਤ ਰਿਵਰਸ-ਪਾਥ ਫਿਲਟਰਿੰਗ ਉਹ ਜਵਾਬ ਸੁੱਟ ਦਿੰਦੀ ਹੈ ਜੋ ਰਸਤੇ ਦੇ ਅੰਦਾਜ਼ੇ ਤੋਂ ਵੱਖਰੇ ਇੰਟਰਫੇਸ ਤੇ ਆਉਂਦੇ ਹਨ, ਅਤੇ ਲੱਛਣ ਫਾਇਰਵਾਲ ਨਿਯਮ ਵਰਗਾ ਹੀ ਲੱਗਦਾ ਹੈ।
ਸੰਰਚਨਾ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਲੱਛਣ ਪੜ੍ਹੋ
ਟਨਲ ਬਣਦੀ ਨਹੀਂ: ਕੁੰਜੀਆਂ, endpoint ਪਤਾ ਜਾਂ ਰੋਕਿਆ UDP ਪੋਰਟ। ਟਨਲ ਉੱਤੇ ਪਰ LAN ਹੋਸਟ ਮ੍ਰਿਤ: ਥਾਂ ਅਤੇ ਰਾਊਟਿੰਗ। ਟਨਲ ਉੱਤੇ ਪਰ ਬ੍ਰਾਊਜ਼ਿੰਗ ਮ੍ਰਿਤ: ਫਾਰਵਰਡਿੰਗ, NAT ਜਾਂ DNS। ਇਹ ਤਿੰਨ ਪਰਤਾਂ ਅਤੇ ਤਿੰਨ ਵੱਖਰੀਆਂ ਜਾਂਚਾਂ ਹਨ, ਅਤੇ ਪਹਿਲਾਂ ਹੀ ਸਹੀ ਸੰਰਚਨਾ ਮੁੜ ਲਿਖਣਾ ਇੱਕ ਸ਼ਾਮ ਬਰਬਾਦ ਕਰਦਾ ਹੈ।
| Symptom | First suspect | Check |
|---|---|---|
| Handshake fails, no transfer | Keys, endpoint port, UDP blocked | wg show, then the port from outside |
| Peer pings, LAN host times out | No route to the LAN | ip route get on the endpoint |
| Tunnel up, name resolution fails | DNS options in the peer config | Resolve a name from the client |
| Large transfers reset the connection | MTU | Lower the tunnel MTU and retry |
ਘਰ ਤੋਂ ਆਉਣ ਵਾਲੀ ਪਹੁੰਚ ਦੀ ਆਪਣੀ ਜਾਂਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਘਰ ਵਿੱਚ ਹੋਸਟਿੰਗ ਬਿਲਕੁਲ ਸੰਭਵ ਹੈ ਜਾਂ ਨਹੀਂ। ਤੁਹਾਡੇ ਰਾਊਟਰ ਵੱਲੋਂ ਦੱਸੇ WAN ਪਤੇ ਦੀ ਤੁਲਨਾ ਬਾਹਰੀ ਹੋਸਟ ਵੱਲੋਂ ਦਿਸਦੇ ਪਤੇ ਨਾਲ ਕਰੋ। ਜੇ ਉਹ 100.64.0.0/10 ਵਿੱਚ ਪੈਂਦਾ ਹੈ, ਜਾਂ ਦੋਵੇਂ ਨਹੀਂ ਮਿਲਦੇ, ਤਾਂ ਤੁਸੀਂ carrier-grade NAT ਪਿੱਛੇ ਹੋ ਅਤੇ ਕੋਈ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਕਦੇ ਨਹੀਂ ਚੱਲੇਗੀ। ਅਸਲ ਵਿਕਲਪ ਰਿਲੇ, ਘਰ ਤੋਂ ਬਾਹਰ ਡਾਇਲ ਕਰਨ ਵਾਲੀ ਕਲਾਊਡ ਲਿੰਕ, ਜਾਂ endpoint ਹਿਲਾਉਣਾ ਹੈ।
ਘਰ ਦੀ ਹੋਸਟਿੰਗ ਕੀ ਦਿੰਦੀ ਹੈ ਅਤੇ ਕੀ ਲੈਂਦੀ ਹੈ
ਘਰ ਹੀ ਇੱਕੋ-ਇੱਕ ਥਾਂ ਹੈ ਜੋ ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ LAN ਅੰਦਰ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਉੱਥੇ ਸਰਵਰ ਰੱਖਣ ਦਾ ਪੂਰਾ ਕਾਰਨ ਇਹੀ ਹੈ। ਸਿਰਫ਼ ਸਥਾਨਕ ਸੈਗਮੈਂਟ ਤੇ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਯੰਤਰ, ਜਿਵੇਂ ਪ੍ਰਿੰਟਰ ਅਤੇ ਗੈਰ-ਸਥਾਨਕ ਸਬਨੈੱਟ ਨਾ ਮੰਨਣ ਵਾਲੇ NAS ਪ੍ਰਸ਼ਾਸਨ ਪੰਨੇ, ਵਾਧੂ ਰਾਊਟਿੰਗ ਤੋਂ ਬਿਨਾਂ ਚੱਲਦੇ ਹਨ। ਮਸ਼ੀਨ, ਰਾਊਟਰ ਅਤੇ ਅਪਲਿੰਕ ਵੀ ਤੁਸੀਂ ਆਪ ਚਲਾਉਂਦੇ ਹੋ।
ਖਰਚੇ ਭੌਤਿਕ ਹਨ। ਘਰ ਦਾ ਅੱਪਲੋਡ ਇੱਕੋ ਸਮੇਂ ਸਾਰੇ ਕਲਾਇੰਟਾਂ ਲਈ ਸੀਮਾ ਹੈ, ਇਸ ਲਈ ਵੀਡੀਓ ਕਾਲ ਅਤੇ ਬੈਕਅੱਪ ਇੱਕੋ ਪਾਈਪ ਲਈ ਮੁਕਾਬਲਾ ਕਰਦੇ ਹਨ। ਬਿਜਲੀ, ਡਿਸਕ ਦੀ ਘਿਸਾਈ, ਪੈਚ, DDNS ਚਾਹੁੰਦਾ ਗਤੀਸ਼ੀਲ ਪਤਾ, ਅੰਦਰ UDP ਫਾਰਵਰਡ ਕਰਨ ਵਾਲਾ ਰਾਊਟਰ ਅਤੇ ਸੰਭਵ ਤੌਰ ਤੇ ਡਬਲ NAT — ਸਭ ਤੁਹਾਡੇ ਤੇ ਆਉਂਦਾ ਹੈ। ਜੋ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ ਉਹ ਹੈ ਰਿਕਵਰੀ: ਜੇ ਤੁਸੀਂ ਬਾਹਰ ਹੋ ਤੇ ਬਕਸਾ ਮਰ ਜਾਵੇ, ਤਾਂ ਘਰ ਵਿੱਚ ਆਉਣ ਦਾ ਤੁਹਾਡਾ ਇੱਕੋ-ਇੱਕ ਰਸਤਾ ਵੀ ਉਸ ਨਾਲ ਮਰ ਜਾਂਦਾ ਹੈ। ਉਹੀ ਕੁੰਜੀਆਂ ਵਾਲਾ ਦੂਜਾ ਯੰਤਰ, ਜਾਂ ਘੱਟੋ-ਘੱਟ ਭੌਤਿਕ ਪਹੁੰਚ ਦੀ ਯੋਜਨਾ ਰੱਖੋ।
ਘਰ ਬਕਸੇ ਤੋਂ ਬਿਨਾਂ LAN ਪਹੁੰਚ ਚਾਹੀਦੀ ਹੈ ਤਾਂ ਦਿਖਾਵਾ ਕਰਨ ਦੀ ਥਾਂ ਲਿੰਕ ਬਣਾਓ। ਕਲਾਊਡ endpoint ਰਾਊਟਰ ਬਣ ਜਾਂਦਾ ਹੈ: ਘਰ ਵਾਲੇ ਪਾਸਿਓਂ AllowedIPs = 192.168.1.0/24 ਨਾਲ ਕਲਾਊਡ peer ਤੇ ਟਨਲ, ਨਾਲੇ ਕਲਾਊਡ ਬਕਸੇ ਤੇ ਫਾਰਵਰਡਿੰਗ ਅਤੇ NAT। strongSwan ਦੀ ਫਾਰਵਰਡਿੰਗ ਗਾਈਡ ਉਸ ਸੈੱਟਅੱਪ ਦਾ ਵਾਪਸੀ ਅੱਧ ਸਮਝਾਉਂਦੀ ਹੈ, ਅਤੇ ਉੱਥੇ ਹੀ ਇਹਨਾਂ ਕੋਸ਼ਿਸ਼ਾਂ ਵਿੱਚੋਂ ਬਹੁਤੀਆਂ ਫੇਲ੍ਹ ਹੁੰਦੀਆਂ ਹਨ। ਘਰ ਦੇ peer ਨੂੰ ਹੁਣ ਕੁਝ ਵੀ ਚੱਲਣ ਲਈ ਉੱਪਰ ਹੋਣਾ ਪਵੇਗਾ, ਯਾਨੀ ਤੁਸੀਂ ਇੱਕ ਨਿਰਭਰਤਾ ਦੂਜੇ ਨਾਲ ਬਦਲੀ ਅਤੇ ਇਹ ਲਿਖ ਕੇ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।
ਕਲਾਊਡ endpoint ਅਸਲ ਵਿੱਚ ਕਿਸ ਲਈ ਹੈ
ਕਲਾਊਡ endpoint ਤੁਹਾਡਾ ਜਨਤਕ ਨਿਕਾਸ ਬਦਲਦਾ ਹੈ। ਟ੍ਰੈਫਿਕ ਪ੍ਰਦਾਤਾ ਦੀ ਪਤਾ ਰੇਂਜ ਤੋਂ ਨਿਕਲਦਾ ਹੈ, ਅਤੇ ਸਾਈਟਾਂ ਘਰ ਦੇ ਪਤੇ ਦੀ ਥਾਂ ਉਹ ਪਤਾ ਵੇਖਦੀਆਂ ਹਨ। ਮੁੱਲ ਉੱਥੇ ਹੀ ਹੈ, ਅਤੇ ਇਸੇ ਲਈ ਕਲਾਊਡ VPN ਤੁਹਾਨੂੰ NAS ਨਹੀਂ ਦਿੰਦਾ: ਤੁਸੀਂ ਨਿਕਾਸ ਹਿਲਾਇਆ, LAN ਨਹੀਂ।
ਤੁਸੀਂ ਅਜੇ ਵੀ ਮਹਿਮਾਨ ਸਿਸਟਮ, VPN ਸੇਵਾ ਅਤੇ ਉਸ ਦੇ ਪ੍ਰਮਾਣ ਚਲਾਉਂਦੇ ਹੋ ਜਦੋਂ ਕਿ ਪ੍ਰਦਾਤਾ ਹਾਈਪਰਵਾਈਜ਼ਰ ਅਤੇ ਭੌਤਿਕ ਨੈੱਟਵਰਕ ਚਲਾਉਂਦਾ ਹੈ, ਅਤੇ ਰਾਤ 2 ਵਜੇ ਕੁਝ ਵਿਗੜਨ ਤੇ ਇਹ ਵੰਡ ਮਾਅਨੇ ਰੱਖਦੀ ਹੈ। ਜਨਤਕ endpoint ਲਗਾਤਾਰ ਸਕੈਨ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਪ੍ਰਬੰਧਨ ਪੋਰਟ ਬੰਦ ਰੱਖੋ, ਸਿਰਫ਼ VPN ਪੋਰਟ ਦੀ ਆਗਿਆ ਦਿਓ ਅਤੇ ਸਮਾਂ-ਸਾਰਣੀ ਅਨੁਸਾਰ ਪੈਚ ਕਰੋ। ਸੁਰੱਖਿਆ ਸਮੂਹ ਅਤੇ ਪ੍ਰਦਾਤਾ ਦੇ ਫਾਇਰਵਾਲ ਉਸ ਪੋਰਟ ਦੀ ਆਗਿਆ ਦੇਣ, ਅਤੇ ਕੁਝ ਕਲਾਊਡ ਇੰਸਟੈਂਸ ਤੇ ਸਰੋਤ-ਮੰਜ਼ਿਲ ਜਾਂਚ ਠੀਕ ਨਾ ਕੀਤੀ ਜਾਵੇ ਤਾਂ ਫਾਰਵਰਡ ਟ੍ਰੈਫਿਕ ਸੁੱਟ ਦਿੰਦੇ ਹਨ।
ਛੋਟਾ ਇੰਸਟੈਂਸ ਮੁੱਠੀ ਭਰ ਕਲਾਇੰਟ ਸੰਭਾਲਦਾ ਹੈ, ਪਰ ਐਨਕ੍ਰਿਪਸ਼ਨ CPU ਦਾ ਕੰਮ ਹੈ, ਅਤੇ ਕ੍ਰੈਡਿਟ ਖ਼ਤਮ ਹੋਇਆ burstable ਇੰਸਟੈਂਸ ਲਗਾਤਾਰ ਭਾਰ ਹੇਠ ਅਸਮਾਨ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ। ਸਪੈਕ ਸ਼ੀਟ ਨਹੀਂ, ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਵਰਤਦੇ ਰਸਤੇ ਨੂੰ ਵੇਖੋ।
ਲਿਖ ਕੇ ਰੱਖਣ ਯੋਗ ਫੈਸਲਾ
ਕੰਮ ਥਾਂ ਤੈਅ ਕਰਦਾ ਹੈ, ਬਕਸੇ ਦਾ ਲੇਬਲ ਨਹੀਂ। ਤੁਹਾਡੇ ਘਰ ਦੇ LAN ਤੇ ਯੰਤਰ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਸਭ ਤੋਂ ਸਸਤਾ ਸਹੀ ਜਵਾਬ ਘਰ ਵਿੱਚ endpoint ਹੈ; ਵਾਪਸੀ ਲਿੰਕ ਬਣਾਉਣ ਤੋਂ ਬਾਅਦ ਹੀ ਕਲਾਊਡ ਬਕਸਾ ਚੱਲਦਾ ਹੈ। ਵੱਖਰਾ ਜਨਤਕ ਨਿਕਾਸ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਜਵਾਬ ਕਲਾਊਡ ਹੈ ਅਤੇ LAN ਸਵਾਲ ਉੱਠਦਾ ਹੀ ਨਹੀਂ। ਦੋਵੇਂ ਚਾਹੁਣਾ ਜਾਇਜ਼ ਹੈ, ਪਰ ਇਸਦਾ ਮਤਲਬ ਦੋ endpoint, ਦੋ ਕੁੰਜੀ ਸੈੱਟ ਅਤੇ ਦੋ ਦਸਤਾਵੇਜ਼ੀ ਰਸਤੇ ਹਨ।
| What you need | Endpoint location | What else must exist |
|---|---|---|
| Reach a NAS or printer on the home LAN | A box on that LAN | Port forward or relay, DDNS, recovery plan |
| Browse from an exit unrelated to home | Cloud instance | Firewall and egress rules, patching |
| Both, reliably | Two endpoints, or cloud plus a link home | Separate keys, routes, documented failure modes |
ਕਲਾਇੰਟ ਤੋਂ ਕ੍ਰਮ ਨਾਲ ਜਾਂਚੋ: ਹੈਂਡਸ਼ੇਕ, peer ਪਤਾ, LAN ਹੋਸਟ, ਫਿਰ ਨਿਕਾਸ IP। curl -s https://ifconfig.me ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਇੰਟਰਨੈੱਟ ਕੀ ਵੇਖਦਾ ਹੈ, ਅਤੇ ip route get 192.168.1.20 ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ endpoint ਕੀ ਮੰਨਦਾ ਹੈ। ਜਦੋਂ ਨਿਕਾਸ ਜਾਂਚ ਪਾਸ ਹੋਵੇ ਅਤੇ NAS ਜਾਂਚ ਲਟਕੇ, ਤਾਂ ਥਾਂ ਬਾਰੇ ਜਵਾਬ ਤੁਹਾਡੇ ਕੋਲ ਹੈ; ਕਲਾਇੰਟ ਤੇ AllowedIPs ਬਦਲਣ ਨਾਲ ਰਸਤਾ ਨਹੀਂ ਬਣੇਗਾ। 10.8.0.0/24, 192.168.1.0/24 ਵਰਗੀ ਵੰਡੀ ਲਾਈਨ LAN ਟ੍ਰੈਫਿਕ ਨੂੰ ਟਨਲ ਵਿੱਚ ਸਿਰਫ਼ ਤਦ ਰੱਖਦੀ ਹੈ ਜਦੋਂ ਉਹ ਰਸਤਾ ਸੱਚਮੁੱਚ ਮੌਜੂਦ ਹੋਵੇ।