ਇੱਕ ਟੈਸਟ LAN ਨੂੰ ਇਸਦਾ ਆਪਣਾ WireGuard ਐਗਜ਼ਿਟ ਕਿਵੇਂ ਦੇਣਾ ਹੈ

ਤਿੰਨ ਡਿਜ਼ਾਈਨ ਇੱਕੋ ਲੈਬ ਸਮੱਸਿਆ ਹੱਲ ਕਰਦੇ ਹਨ: ਇੱਕ ਛੋਟੀ LAN ਨੂੰ WireGuard ਸਾਥੀ ਰਾਹੀਂ ਬਾਹਰ ਨਿਕਲਣਾ ਹੈ, ਜਦੋਂ ਕਿ ਗੇਟਵੇ ਖੁਦ ਆਪਣਾ ਆਮ ਅੱਪਲਿੰਕ ਰੱਖਦਾ ਹੈ। ਲੁਭਾਉਣ ਵਾਲਾ ਛੋਟਾ ਰਾਹ ਹੈ ਰਾਊਟਰ ਦਾ ਡਿਫਾਲਟ ਰੂਟ ਟਨਲ ਵਿੱਚ ਲੈ ਜਾਣਾ, ਪਰ ਇਸ ਨਾਲ ਬਕਸੇ ਦਾ ਆਪਣਾ ਪ੍ਰਬੰਧਨ ਰਾਹ ਅਤੇ ਇਹ ਜੋ ਕੁਝ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਸਭ ਟੁੱਟ ਜਾਂਦਾ ਹੈ। ਦਿਲਚਸਪ ਵਿਕਲਪ ਹੈ ਇੱਕ ਇੰਟਰਫੇਸ ਅਤੇ ਇੱਕ ਪ੍ਰੀਫਿਕਸ ਤੱਕ ਸੀਮਤ ਪਾਲਿਸੀ ਰੂਟਿੰਗ। ਤੁਹਾਡੇ ਕੋਲ ਸੱਚਮੁੱਚ ਜੋ ਮਸ਼ੀਨ ਹੈ, ਉਸ ਬਾਰੇ ਤਿੰਨ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦੇ ਕੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਚੁਣੋ।

ਤੈਅ ਕਰੋ ਕਿ ਐਗਜ਼ਿਟ ਕਿੱਥੇ ਰਹਿੰਦਾ ਹੈ

ਪਹਿਲਾ ਸਵਾਲ: ਕੀ ਇਹ ਹੋਸਟ ਕਿਸੇ ਹੋਰ ਚੀਜ਼ ਲਈ ਵੀ ਅੱਗੇ ਭੇਜਦਾ ਹੈ? ਇੱਕ ਸਮਰਪਿਤ ਲੈਬ ਗੇਟਵੇ ਡਿਫਾਲਟ ਤੌਰ ਤੇ ਸਭ ਕੁਝ ਛੱਡ ਦੇਣ ਵਾਲੀ ਫਾਰਵਰਡਿੰਗ ਪਾਲਿਸੀ ਨਾਲ ਰਹਿ ਸਕਦਾ ਹੈ। ਪ੍ਰੋਡਕਸ਼ਨ ਦੀਆਂ ਜ਼ਿੰਮੇਵਾਰੀਆਂ ਵਾਲਾ ਰਾਊਟਰ ਇੰਝ ਨਹੀਂ ਕਰ ਸਕਦਾ, ਅਤੇ ਪ੍ਰਬੰਧਿਤ ਫਾਇਰਵਾਲ ਉੱਤੇ ਮੁਕਾਬਲੇ ਵਾਲਾ ਨਿਯਮ-ਸਮੂਹ ਚਾੜ੍ਹਨਾ ਹੀ ਰੁਕਾਵਟਾਂ ਤੈਅ ਕਰਨ ਦਾ ਤਰੀਕਾ ਹੈ। ਦੂਜਾ: ਕੀ ਤੁਸੀਂ ਰੀਬੂਟਾਂ ਦੌਰਾਨ ਦੋ ਪਾਲਿਸੀ ਵਸਤੂਆਂ ਅਤੇ ਉਹਨਾਂ ਦਾ ਕ੍ਰਮ ਰੱਖ ਸਕਦੇ ਹੋ? ਤੀਜਾ: ਕੀ ਤੁਹਾਡਾ ਸਾਥੀ ਤੁਹਾਡੇ ਟਨਲ ਸਰੋਤ ਪਤੇ ਨੂੰ ਅਧਿਕਾਰ ਦਿੰਦਾ ਹੈ ਅਤੇ ਇੰਟਰਨੈਟ ਐਗਜ਼ਿਟ ਦਿੰਦਾ ਹੈ? ਸਿਰਫ਼ ਨਿੱਜੀ ਨੈੱਟਵਰਕ ਦਿਖਾਉਣ ਵਾਲਾ ਸਾਥੀ ਵੱਖਰਾ ਉਤਪਾਦ ਹੈ, ਅਤੇ ਕੋਈ ਸਥਾਨਕ ਰੂਟਿੰਗ ਤਬਦੀਲੀ ਇਸਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦੀ। ਜੇ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਹੈ, ਤਾਂ ਐਗਜ਼ਿਟ ਨੂੰ ਇਸਦੀ ਥਾਂ ਨਾਮ-ਥਾਂ ਵਿੱਚ ਜਾਂ ਇੱਕ ਵਾਰ ਵਰਤੋਂ ਵਾਲੀ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਵਿੱਚ ਰੱਖੋ।

ਨਾਮ-ਥਾਂ ਜਾਂ VM ਮੈਮੋਰੀ ਖਰਚਦਾ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਸਾਫ਼ ਧਮਾਕਾ ਅਰਧ ਵਿਆਸ ਦਿੰਦਾ ਹੈ। ਪਾਲਿਸੀ ਰੂਟਿੰਗ ਦੋ ਨਿਯਮ ਖਰਚਦੀ ਹੈ ਅਤੇ ਡੀਬੱਗ ਕਰਨ ਲਈ ਇੱਕ ਹੀ ਬਕਸਾ ਛੱਡਦੀ ਹੈ।

ਉਹ ਐਗਜ਼ਿਟ ਚੁਣੋ ਜੋ ਤੁਹਾਡੇ ਸਰੋਤ ਨੂੰ ਅਧਿਕਾਰ ਦਿੰਦਾ ਹੈ

ਇਸ ਲੈਬ ਵਿੱਚ ਜ਼ਿਆਦਾਤਰ ਅਸਫਲਤਾਵਾਂ ਇੱਕ ਵੀ ਫਾਇਰਵਾਲ ਨਿਯਮ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਹੁੰਦੀਆਂ ਹਨ। ਐਗਜ਼ਿਟ ਓਪਰੇਟਰ ਨੂੰ ਉਹ ਸਰੋਤ ਪਤਾ ਸਵੀਕਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਅਨੁਵਾਦ ਤੋਂ ਬਾਅਦ ਤੁਹਾਡੇ ਪੈਕਟ ਲੈ ਕੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ ਇਸ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਉਹ ਟਨਲ ਪਤਾ ਹੈ, LAN ਪ੍ਰੀਫਿਕਸ ਨਹੀਂ। ਇਸੇ ਲਈ ਮਾਸਕਰੇਡਿੰਗ ਸ਼ੁਰੂ ਤੋਂ ਹੀ ਡਿਜ਼ਾਈਨ ਦਾ ਹਿੱਸਾ ਹੈ, ਬਾਅਦ ਵਿੱਚ ਜੋੜੀ ਗਈ ਚੀਜ਼ ਨਹੀਂ।

ਓਪਰੇਟਰ ਨਾਲ ਤਿੰਨ ਗੱਲਾਂ ਪੱਕੀਆਂ ਕਰੋ: ਸਾਥੀ ਤੁਹਾਡੇ ਟਨਲ ਪਤੇ ਨੂੰ ਅਧਿਕਾਰ ਦਿੰਦਾ ਹੈ, ਇਹ ਆਪਣੇ ਆਪ ਤੇ ਖ਼ਤਮ ਹੋਣ ਦੀ ਥਾਂ IPv4 ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਇਹ ਐਗਜ਼ਿਟ NAT ਲਾਗੂ ਕਰਦਾ ਹੈ। ਪਹਿਲੇ ਤੋਂ ਬਿਨਾਂ ਤੁਹਾਡੇ ਪੈਕਟ ਪਹੁੰਚਦੇ ਹਨ ਅਤੇ ਗਾਇਬ ਹੋ ਜਾਂਦੇ ਹਨ। ਤੀਜੇ ਤੋਂ ਬਿਨਾਂ ਉਹ ਨਿੱਜੀ ਸਰੋਤ ਨਾਲ ਨਿਕਲਦੇ ਹਨ ਅਤੇ ਅਗਲੇ ਹੌਪ ਤੇ ਮਰ ਜਾਂਦੇ ਹਨ। ਫਿਰ ਜਾਂਚੋ ਕਿ wg-quick ਆਪਣਾ ਡਿਫਾਲਟ ਰੂਟ ਨਹੀਂ ਲਗਾ ਰਿਹਾ, ਜਿਸਨੂੰ Table = off ਰੋਕਦਾ ਹੈ; ਉਹ ਸੈਟਿੰਗ ਰੂਟ ਬਣਨਾ ਦਬਾਉਂਦੀ ਹੈ, ਸਾਥੀ ਦੀਆਂ AllowedIPs ਜਾਂਚਾਂ ਜਾਂ ਉਸਦੀ DNS ਸੰਭਾਲ ਨਹੀਂ।

ਦੋ ਪਾਲਿਸੀ ਵਸਤੂਆਂ ਸਟੀਅਰਿੰਗ ਕਰਦੀਆਂ ਹਨ

ਸਟੀਅਰਿੰਗ ਲਈ ਟੇਬਲ ਅਤੇ ਨਿਯਮ ਚਾਹੀਦਾ ਹੈ। ਟੇਬਲ ਵਿੱਚ ਦੋ ਰੂਟ ਹੁੰਦੇ ਹਨ: LAN ਇੰਟਰਫੇਸ ਤੋਂ ਬਾਹਰ ਜਾਂਦਾ LAN ਪ੍ਰੀਫਿਕਸ ਅਤੇ ਟਨਲ ਤੋਂ ਬਾਹਰ ਜਾਂਦਾ ਡਿਫਾਲਟ। ਨਿਯਮ LAN ਇੰਟਰਫੇਸ ਤੇ ਆਉਣ ਵਾਲੇ ਅਤੇ ਉਹ ਪ੍ਰੀਫਿਕਸ ਲੈ ਕੇ ਜਾਂਦੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਟੇਬਲ ਵਿੱਚ ਭੇਜਦਾ ਹੈ। ਸਰੋਤ ਮੇਲ ਦੇ ਨਾਲ iif ਚੋਣਕਾਰ ਵਰਤੋ, ਕਿਉਂਕਿ ਗੇਟਵੇ ਦੇ ਆਪਣੇ WireGuard ਪੈਕਟ ਸਥਾਨਕ ਤੌਰ ਤੇ ਬਣਦੇ ਹਨ ਅਤੇ ਕਦੇ ਵੀ ਆਉਂਦੇ ਇੰਟਰਫੇਸ ਨਾਲ ਨਹੀਂ ਮਿਲਦੇ।

ਗਾਰਡ ਖੋਜ ਤੋਂ ਪਹਿਲਾਂ ਆਉਂਦਾ ਹੈ, ਬਾਅਦ ਵਿੱਚ ਨਹੀਂ। ਉਹੀ ਕ੍ਰਮ ਡਿਜ਼ਾਈਨ ਦੀ ਪੂਰੀ ਸੁਰੱਖਿਆ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ।

ਗਾਰਡ ਉਸੇ ਚੋਣਕਾਰ ਤੇ ਦੂਜਾ ਨਿਯਮ ਹੈ ਜਿਸਦਾ ਫੈਸਲਾ unreachable ਹੈ। ਇਸਨੂੰ ਉੱਚ ਸੰਖਿਆਤਮਕ ਤਰਜੀਹ ਦਿਓ ਤਾਂ ਜੋ ਟਨਲ ਚਾਲੂ ਹੋਣ ਵੇਲੇ ਵੀ ਖੋਜ ਜਿੱਤਦੀ ਰਹੇ। ਜਦੋਂ ਟਨਲ ਰੂਟ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ, ਖੋਜ ਕੁਝ ਨਹੀਂ ਮੋੜਦੀ ਅਤੇ ਗਾਰਡ ਖੋਜ ਰੋਕ ਦਿੰਦਾ ਹੈ, ਇਸਨੂੰ ਮੁੱਖ ਟੇਬਲ ਦੇ WAN ਡਿਫਾਲਟ ਤੱਕ ਡਿੱਗਣ ਨਹੀਂ ਦਿੰਦਾ।

ip rule add from 192.168.50.0/24 iif lan0 lookup 51861 pref 1000
ip rule add from 192.168.50.0/24 iif lan0 unreachable pref 1001
ip route add table 51861 default dev wg0

ਪਿੱਛੇ ਹਟਣ ਦਾ ਖੱਡਾ ਖੋਲ੍ਹਣ ਤੋਂ ਪਹਿਲਾਂ ਬੰਦ ਕਰੋ

ਪਹਿਲਾਂ ਗਾਰਡ ਅਤੇ ਫਿਰ ਖੋਜ ਲਗਾਓ। ਉਲਟਾ ਕਰਨ ਨਾਲ ਕੁਝ ਸਕਿੰਟਾਂ ਦੀ ਖਿੜਕੀ ਰਹਿ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਟੈਸਟ ਕਲਾਇੰਟ ਦਾ ਟ੍ਰੈਫਿਕ ਅੱਪਲਿੰਕ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ।

ਫਿਲਟਰ ਤਸਵੀਰ ਪੂਰੀ ਕਰਦਾ ਹੈ। forward ਹੁੱਕ ਵਿੱਚ ਟੈਸਟ ਪ੍ਰੀਫਿਕਸ ਲਈ LAN ਤੋਂ ਟਨਲ ਦਿਸ਼ਾ ਅਤੇ ਸਥਾਪਿਤ ਵਾਪਸੀ ਦਿਸ਼ਾ ਸਵੀਕਾਰ ਕਰੋ, ਫਿਰ ਬਾਕੀ ਸਭ ਛੱਡ ਦਿਓ; ਉਸ ਪ੍ਰੀਫਿਕਸ ਦਾ ਟਨਲ ਇੰਟਰਫੇਸ ਤੇ NAT postrouting ਵਿੱਚ ਜਾਂਦਾ ਹੈ। ਫਾਰਵਰਡ ਚੇਨ ਤੇ policy drop ਛੱਡਣਾ ਹੀ ਗੁੰਮ ਰੂਟ ਨੂੰ ਲੀਕ ਦੀ ਥਾਂ ਚੁੱਪ ਵਿੱਚ ਬਦਲਦਾ ਹੈ। ਰਿਵਰਸ-ਪਾਥ ਫਿਲਟਰਿੰਗ ਲਈ ਟਨਲ ਇੰਟਰਫੇਸ ਤੇ ਢਿੱਲਾ ਮੋਡ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਡੀਕੈਪਸੂਲੇਸ਼ਨ ਤੋਂ ਬਾਅਦ ਆਉਣ ਵਾਲੇ ਜਨਤਕ ਸਰੋਤ ਦਾ ਸਭ ਤੋਂ ਵਧੀਆ ਰਿਵਰਸ ਰੂਟ WAN ਪਾਸੇ ਹੁੰਦਾ ਹੈ। Linux all ਅਤੇ ਪ੍ਰਤੀ-ਇੰਟਰਫੇਸ ਮੁੱਲਾਂ ਵਿੱਚੋਂ ਉੱਚਾ ਲੈਂਦਾ ਹੈ, ਇਸ ਲਈ ਟਨਲ ਇੰਟਰਫੇਸ ਸੈੱਟ ਕਰਨਾ ਹਰ ਥਾਂ ਪ੍ਰਮਾਣਿਕਤਾ ਕਮਜ਼ੋਰ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ।

ਅਸਫਲਤਾ ਦੇ ਕੇਸ ਨਾਲ ਇਸਨੂੰ ਸਿੱਧ ਕਰੋ

ਕਰਨਲ ਨੂੰ ਸਟੀਕ ਸਵਾਲ ਪੁੱਛੋ: ਕਲਾਇੰਟ ਦਾ ਸਰੋਤ ਪਤਾ ਅਤੇ ਜਿਸ ਇੰਟਰਫੇਸ ਤੇ ਇਹ ਆਉਂਦਾ ਹੈ, ਉਸਦਾ ਨਾਮ ਦਿਓ। ਦੋਨਾਂ ਤੋਂ ਬਿਨਾਂ ਖੋਜ ਕਿਸੇ ਹੋਰ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ ਅਤੇ ਦੋਨਾਂ ਹਾਲਤਾਂ ਵਿੱਚ ਸਹੀ ਦਿਸਦੀ ਹੈ। ਫਿਰ ਫਾਇਰਵਾਲ ਕਾਊਂਟਰ, ਸਾਥੀ ਦੀ ਟ੍ਰਾਂਸਫਰ ਸਥਿਤੀ ਅਤੇ ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਸੇਵਾ ਵੇਖੋ।

ਹਟਾਉਣ ਦੀ ਜਾਂਚ ਠੀਕ ਤਰ੍ਹਾਂ ਕਰੋ। ਨਿਯਮ ਅਤੇ ਫਿਲਟਰ ਜਗ੍ਹਾ ਤੇ ਰੱਖ ਕੇ ਟਨਲ ਬੰਦ ਕਰੋ: ਕਲਾਇੰਟ ਨੂੰ ਅਟਕਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਗੇਟਵੇ ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਚੱਲਦਾ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ। ਫਿਰ ਸਥਾਨਕ ਇੰਟਰਫੇਸ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਸਾਥੀ ਬੰਦ ਕਰੋ, ਅਤੇ ਇਹੀ ਉਹ ਕੇਸ ਹੈ ਜੋ ਸਿਰਫ਼ ਰੂਟ ਦੀ ਮੌਜੂਦਗੀ ਤੇ ਭਰੋਸਾ ਕਰਨ ਵਾਲੇ ਡਿਜ਼ਾਈਨ ਫੜਦਾ ਹੈ। ਅੰਤ ਵਿੱਚ ਰੀਬੂਟ ਕਰੋ ਅਤੇ ਨਿਯਮਾਂ ਦਾ ਕ੍ਰਮ ਦੁਬਾਰਾ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਗਾਰਡ ਹਟਾਉਣ ਵਾਲਾ ਟਿਅਰਡਾਊਨ ਹੁੱਕ ਪੂਰਾ ਡਿਜ਼ਾਈਨ ਮੁੱਖ ਟੇਬਲ ਨੂੰ ਵਾਪਸ ਦੇ ਦਿੰਦਾ ਹੈ। ਟੇਬਲ ਨੰਬਰ, ਤਰਜੀਹਾਂ ਅਤੇ ਇੰਟਰਫੇਸ ਨਾਮ ਬਦਲਾਅ ਟਿਕਟ ਤੇ ਲਿਖੋ, ਕਿਉਂਕਿ ਅਗਲਾ ਨਿਯਮ ਜੋੜਨ ਵਾਲਾ ਵਿਅਕਤੀ ਹੀ ਇਸਨੂੰ ਤੋੜੇਗਾ।