ਘਰ ਦੇ WireGuard ਟਨਲ ਨੂੰ LAN ਤੋਂ ਵਾਪਸੀ ਦਾ ਰਾਹ ਚਾਹੀਦਾ ਹੈ

ਹੈਂਡਸ਼ੇਕ ਸੌਖਾ ਹਿੱਸਾ ਹੈ। ਰਾਊਟਰ ਅਤੇ ਗੇਟਵੇ ਵਿਚਕਾਰ ਕੰਮ ਦੀ ਵੰਡ ਤੈਅ ਕਰੋ, ਲੈਪਟਾਪ ਦਾ ਸਰੋਤ ਅਛੂਤਾ ਰੱਖੋ ਅਤੇ LAN ਨੂੰ ਵਾਪਸੀ ਦਾ ਰਾਹ ਦਿਓ।

ਘਰ ਤੱਕ ਪਹੁੰਚ ਇੱਕ ਨਿੱਜੀ ਸੇਵਾ ਹੈ, ਦੂਜਾ ਇੰਟਰਨੈੱਟ ਨਿਕਾਸ ਨਹੀਂ। WireGuard ਰਾਊਟਰ ਪਿੱਛੇ Linux ਬਾਕਸ 'ਤੇ ਖਤਮ ਹੁੰਦਾ ਹੈ, ਰਾਊਟਰ ਆਪਣਾ ਮੌਜੂਦਾ ਕੰਮ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਲੈਪਟਾਪ ਟਨਲ ਰਾਹੀਂ ਸਿਰਫ਼ ਘਰ ਦਾ ਪ੍ਰੀਫਿਕਸ ਭੇਜਦਾ ਹੈ। ਕਿਹੜਾ ਯੰਤਰ ਫਾਰਵਰਡ ਕਰਦਾ ਹੈ ਅਤੇ ਕਿਹੜਾ ਖਤਮ ਕਰਦਾ ਹੈ, ਇਹ ਉਹ ਫੈਸਲਾ ਹੈ ਜਿਸ ਤੋਂ ਅੱਗੇ ਦਾ ਹਰ ਨਿਯਮ ਨਿਕਲਦਾ ਹੈ। ਇਹ ਵੰਡ ਗਲਤ ਹੋਈ ਤਾਂ ਤੁਸੀਂ ਉਹ NAT ਡੀਬੱਗ ਕਰੋਗੇ ਜੋ ਜੋੜਨ ਦਾ ਕਦੇ ਇਰਾਦਾ ਨਹੀਂ ਸੀ।

ਤੈਅ ਕਰੋ ਕੌਣ ਫਾਰਵਰਡ ਕਰਦਾ ਹੈ ਅਤੇ ਕੌਣ ਖਤਮ ਕਰਦਾ ਹੈ

ਜਨਤਕ ਪ੍ਰਵੇਸ਼ ਰਾਊਟਰ ਕੋਲ ਹੈ: ਉਹ UDP ਪੈਕਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ Linux ਹੋਸਟ ਨੂੰ ਦਿੰਦਾ ਹੈ। ਉਸ ਹੋਸਟ ਕੋਲ WireGuard ਸਰੋਤਾ ਅਤੇ LAN ਵਿੱਚ ਫਾਰਵਰਡ ਕਰਨ ਦਾ ਫੈਸਲਾ ਹੈ। ਅਮਲ ਵਿੱਚ ਮੈਪਿੰਗ UDP 51820 ਨੂੰ 192.168.50.10 'ਤੇ ਭੇਜਦੀ ਹੈ, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਆਪਣਾ ਪੋਰਟ ਬੰਦ ਰਹਿੰਦਾ ਹੈ। ਭੂਮਿਕਾਵਾਂ ਵੱਖ ਰੱਖਣ ਨਾਲ ਫਾਇਰਵਾਲ ਛੋਟਾ ਰਹਿੰਦਾ ਹੈ।

ਇੰਟਰਫੇਸ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਪਤਾ ਯੋਜਨਾ ਲਿਖੋ। ਰਾਊਟਰ 192.168.50.1, ਗੇਟਵੇ 192.168.50.10, ਸੇਵਾ 192.168.50.20, ਟਨਲ 10.77.0.0/24 ਜਿਸ ਵਿੱਚ ਗੇਟਵੇ .1 ਅਤੇ ਲੈਪਟਾਪ .2 ਹੈ। ਟਨਲ ਦੀ ਸੀਮਾ ਉਸ ਨੈੱਟਵਰਕ ਨਾਲ ਨਹੀਂ ਵਿਓਂਦੀ ਚਾਹੀਦੀ ਜਿੱਥੇ ਲੈਪਟਾਪ ਪਹਿਲਾਂ ਹੀ ਪਹੁੰਚਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਮੰਜ਼ਿਲਾਂ ਅਸਪਸ਼ਟ ਹੋ ਜਾਂਦੀਆਂ ਹਨ. ਕੈਰੀਅਰ-ਗ੍ਰੇਡ NAT ਜਾਂ ਉੱਪਰਲਾ ਰਾਊਟਰ ਆਉਂਦੀ ਪਹੁੰਚ ਰੋਕ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਸਥਾਨਕ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਇਸਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦੀ।

ਕੁੰਜੀਆਂ ਬਦਲੋ, ਫਿਰ AllowedIPs ਦਾ ਆਕਾਰ ਤੈਅ ਕਰੋ

ਹਰ ਸਿਰੇ ਲਈ ਵੱਖਰੀ ਕੁੰਜੀ ਜੋੜੀ ਬਣਾਓ ਅਤੇ ਸਿਰਫ਼ ਜਨਤਕ ਕੁੰਜੀਆਂ ਪ੍ਰਮਾਣਿਤ ਚੈਨਲ ਰਾਹੀਂ ਭੇਜੋ। ਗੇਟਵੇ ਦੀ peer ਐਂਟਰੀ ਸਿਰਫ਼ ਲੈਪਟਾਪ ਦੇ ਟਨਲ ਸਰੋਤ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦਿੰਦੀ ਹੈ, ਕਿਉਂਕਿ ਘਰ ਦਾ LAN ਲੈਪਟਾਪ ਪਿੱਛੇ ਨਹੀਂ, ਗੇਟਵੇ ਪਿੱਛੇ ਹੈ। ਉਸ ਐਂਟਰੀ ਵਿੱਚ LAN ਪਾਉਣਾ ਉਹ ਟੋਪੋਲੋਜੀ ਦੱਸਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਨਹੀਂ ਬਣਾਈ।

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs ਘਰ ਦਾ ਪ੍ਰੀਫਿਕਸ ਅਤੇ ਗੇਟਵੇ ਦਾ ਟਨਲ ਪਤਾ ਹੈ, ਕਦੇ ਵੀ 0.0.0.0/0 ਨਹੀਂ, ਤਾਂ ਜੋ ਆਮ ਬ੍ਰਾਊਜ਼ਿੰਗ ਆਪਣਾ ਸਥਾਨਕ ਰਾਹ ਰੱਖੇ। ਇੱਕੋ ਕਨਫਿਗਰੇਸ਼ਨ ਮਾਲਕ ਰੱਖੋ, ਅਤੇ ਉਹੀ ਇੰਟਰਫੇਸ ਕਦੇ ਵੀ ਦੂਜੇ ਨੈੱਟਵਰਕ ਮੈਨੇਜਰ ਨਾਲ ਨਾ ਜੋੜੋ।

ਵਾਪਸੀ ਦਾ ਰਾਹ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ

ਇਹ ਡਿਜ਼ਾਈਨ ਲੈਪਟਾਪ ਦੇ 10.77.0.2 ਸਰੋਤ ਨੂੰ ਗੇਟਵੇ ਵਜੋਂ ਲੁਕਾਏ ਬਿਨਾਂ ਰੱਖਦਾ ਹੈ, ਇਸ ਲਈ ਘਰ ਦੇ ਯੰਤਰਾਂ ਨੂੰ ਪਤਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇਸਨੂੰ ਜਵਾਬ ਕਿਵੇਂ ਦੇਣਾ ਹੈ। ਘਰ ਦੇ ਰਾਊਟਰ 'ਤੇ 10.77.0.0/24 ਲਈ 192.168.50.10 ਅਗਲੀ ਹਾਪ ਵਜੋਂ ਸਥਿਰ ਰਾਹ ਜੋੜੋ, ਅਤੇ ਪੜ੍ਹੋ ਕਿ wg-quick AllowedIPs ਤੋਂ ਕੀ ਕੱਢਦਾ ਹੈ, ਉਸਦੇ ਹਵਾਲੇ ਵਿੱਚ। ਉਸ ਰਾਹ ਤੋਂ ਬਿਨਾਂ, ਪੂਰਾ ਹੋਇਆ ਹੈਂਡਸ਼ੇਕ ਉਹਨਾਂ ਐਪਲੀਕੇਸ਼ਨ ਜਵਾਬਾਂ ਨਾਲ ਰਹਿੰਦਾ ਹੈ ਜੋ ਕਦੇ ਨਹੀਂ ਪਹੁੰਚਦੇ।

ਜੇ ਰਾਊਟਰ ਉਹ ਰਾਹ ਨਹੀਂ ਚੁੱਕ ਸਕਦਾ, ਤਾਂ ਦਸਤਾਵੇਜ਼ੀ ਵਾਪਸੀ ਡਿਜ਼ਾਈਨ ਚੁਣੋ। ਚੁੱਪਚਾਪ NAT ਜੋੜਨਾ ਇਸਦੀ ਥਾਂ ਉਹ ਸਰੋਤ ਮਾਡਲ ਬਦਲ ਦਿੰਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਹੁਣੇ ਲਿਖਿਆ।

ਇੱਕ ਸੇਵਾ ਦੀ ਮਨਜ਼ੂਰੀ ਦਿਓ, ਸਬਨੈੱਟ ਦੀ ਨਹੀਂ

ਗੇਟਵੇ 'ਤੇ IPv4 ਫਾਰਵਰਡਿੰਗ ਚਾਲੂ ਕਰੋ ਅਤੇ ਫਾਇਰਵਾਲ ਦੀਆਂ ਤਿੰਨ ਜ਼ਿੰਮੇਵਾਰੀਆਂ ਵੱਖ ਰੱਖੋ: WireGuard ਸਰੋਤੇ ਨੂੰ ਲੰਘਣ ਦਿਓ, ਲੈਪਟਾਪ ਦਾ ਸਰੋਤ ਸਿਰਫ਼ 192.168.50.20 'ਤੇ ਫਾਰਵਰਡ ਕਰੋ, ਅਤੇ ਘਰ ਦੇ ਨੈੱਟਵਰਕ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਉਸ peer ਲਈ ਬੰਦ ਰੱਖੋ। ਨਿਯਮ ਪਹਿਲਾਂ ਹੀ ਵਰਤੇ ਜਾ ਰਹੇ ਫਾਇਰਵਾਲ ਮੈਨੇਜਰ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ, ਉਸਨੂੰ ਖਾਲੀ ਨਾ ਕਰੋ। ਪੂਰੇ ਘਰ ਦੇ ਪ੍ਰੀਫਿਕਸ ਲਈ ਰਾਹ ਅੰਦਰਲੇ ਹਰ ਯੰਤਰ ਦੀ ਵਰਤੋਂ ਦੀ ਮਨਜ਼ੂਰੀ ਨਹੀਂ ਹੈ।

ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਆਪਣੀ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਹੋਸਟ ਫਾਇਰਵਾਲ ਵੱਖਰੇ ਦਰਵਾਜ਼ੇ ਹਨ। ਉਸ ਸੇਵਾ ਦਾ ਨਾਮ ਦਿਓ ਜਿਸਦੀ ਨਿਯਮ-ਸਮੂਹ ਮਨਜ਼ੂਰੀ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਜੋ ਅਗਲਾ ਸਮੀਖਿਅਕ ਇਸਨੂੰ ਲੋੜੀਂਦੇ ਕੰਮ ਨਾਲ ਮਿਲਾ ਸਕੇ।

ਬਾਹਰੋਂ ਪਰਖੋ, ਫਿਰ ਸਾਫ਼-ਸੁਥਰਾ ਹਟਾਓ

ਪਰੋਫਾਈਲ ਉਹਨਾਂ ਦੇ ਮਾਲਕ ਰਾਹੀਂ ਚਾਲੂ ਕਰੋ, ਹੈਂਡਸ਼ੇਕ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਫਿਰ ਮਨਜ਼ੂਰ ਬਾਹਰੀ ਨੈੱਟਵਰਕ ਤੋਂ ਲੋੜੀਂਦਾ ਐਪਲੀਕੇਸ਼ਨ ਚਲਾਓ ਅਤੇ ਜਵਾਬ ਜਾਂਚੋ। ਅਜਿਹੀ ਘਰੇਲੂ ਸੇਵਾ ਅਜ਼ਮਾਓ ਜੋ ਇਨਕਾਰੀ ਰਹਿਣੀ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਮਨਜ਼ੂਰੀ ਦੇਣ ਵਾਲਾ ਨਿਯਮ ਉਦੋਂ ਤੱਕ ਅਦਿੱਖ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਕੋਈ ਇਸਨੂੰ ਵਰਤੇ ਨਹੀਂ। HTTPS ਲਈ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਲਿਖਿਆ ਨਾਮ ਵਰਤੋ ਅਤੇ ਜਾਂਚ ਚੱਲਣ ਦਿਓ; ਕੱਚਾ ਪਤਾ ਟਾਈਪ ਕਰਕੇ ਚੇਤਾਵਨੀ ਪਾਰ ਕਰਨਾ ਰਾਹ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। PersistentKeepalive ਚੋਣਵਾਂ ਹੈ: ਨਿਸ਼ਕਿਰਿਆ ਸਮੇਂ ਬਾਅਦ NAT ਵਿੱਚ ਬੱਝੇ peer ਦੀ ਮਦਦ ਕਰਦਾ ਹੈ, ਪਰ ਇਹ ਨਾ ਗੁੰਮ ਰਾਹ ਹੈ ਨਾ ਮਨਜ਼ੂਰੀ ਦੀ ਸੋਧ।

ਗਤੀਸ਼ੀਲ ਜਨਤਕ ਪਤੇ ਨੂੰ DNS ਅੱਪਡੇਟ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਲੈਪਟਾਪ ਨੂੰ ਆਪਣਾ ਐਂਡਪੁਆਇੰਟ ਦੁਬਾਰਾ ਹੱਲ ਕਰਨਾ ਪੈਂਦਾ ਹੈ; ਨਵੇਂ DNS ਰਿਕਾਰਡ ਕਨਫਿਗਰ ਕੀਤੇ ਐਂਡਪੁਆਇੰਟ ਨੂੰ ਨਹੀਂ ਹਿਲਾਉਂਦੇ। ਸੰਗ੍ਰਹਿਤ ਅਤੇ ਸਰਗਰਮ ਕਨਫਿਗਰੇਸ਼ਨ ਤੋਂ ਇਸਦਾ peer ਹਟਾ ਕੇ ਲੈਪਟਾਪ ਵਾਪਸ ਲਵੋ; ਸਿਰਫ਼ ਲੈਪਟਾਪ ਪਰੋਫਾਈਲ ਮਿਟਾਉਣ ਨਾਲ ਗੇਟਵੇ ਦਾ ਅਧਿਕਾਰ ਰੱਦ ਨਹੀਂ ਹੁੰਦਾ।

ਸੰਬੰਧਿਤ ਲੇਖ