ਰਾਊਟਰ VPN ਰਾਹੀਂ ਇੱਕ ਡਿਵਾਈਸ ਲੰਘਾਉਣ ਲਈ ਟੌਗਲ ਨਹੀਂ, ਤਿੰਨ ਨਿਯਮ ਚਾਹੀਦੇ ਹਨ

ਰਾਊਟਰ VPN ਉੱਤੇ ਹਰ ਡਿਵਾਈਸ ਲਈ ਸਵਿੱਚ ਨਹੀਂ ਹੁੰਦਾ; ਜਿਹੜਾ ਟੌਗਲ ਤੁਸੀਂ ਲੱਭ ਰਹੇ ਹੋ ਉਹ ਇੱਕ ਸ਼ਾਰਟਕੱਟ ਹੈ ਜੋ ਤੁਹਾਡੇ ਵੱਲੋਂ ਪਾਲਿਸੀ ਰਾਊਟਿੰਗ ਦੇ ਨਿਯਮ ਲਿਖਦਾ ਹੈ। ਜਿਸ ਪਲ ਇੱਕ ਲੈਪਟਾਪ, ਇੱਕ ਪੋਰਟ ਰੇਂਜ, ਇੱਕ ਪਤਿਆਂ ਦੀ ਸੂਚੀ ਜਾਂ ਇੱਕ LAN ਸੈਗਮੈਂਟ ਨੂੰ ਟਨਲ ਵਰਤਣਾ ਪਵੇ ਅਤੇ ਬਾਕੀ ਸਭ WAN ਉੱਤੇ ਰਹੇ, ਤੁਸੀਂ ਫੀਚਰ ਚਾਲੂ ਨਹੀਂ ਕਰ ਰਹੇ, ਪਾਲਿਸੀ ਰੂਟ ਬਣਾ ਰਹੇ ਹੋ। ਕੰਮ ਦੇ ਤਿੰਨ ਹਿੱਲਦੇ ਹਿੱਸੇ ਹਨ ਅਤੇ ਹਰ ਇੱਕ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ ਹੁੰਦਾ ਹੈ: ਰੂਟ ਤੋਂ ਬਿਨਾਂ ਨਿਸ਼ਾਨ ਲੱਗੀ ਟੇਬਲ ਚੁੱਪ ਵਾਂਗ ਦਿਸਦੀ ਹੈ, ਗਲਤ ਚੇਨ ਵਿੱਚ ਲਾਇਆ ਮਾਰਕ ਕੁਝ ਨਾ ਹੋਇਆ ਜਿਹਾ ਦਿਸਦਾ ਹੈ, ਅਤੇ ਗੁੰਮ NAT ਨਿਯਮ ਜੁੜਨ ਵਾਲੇ ਪਰ ਕੁਝ ਨਾ ਢੋਣ ਵਾਲੇ ਟਨਲ ਵਾਂਗ ਦਿਸਦਾ ਹੈ। ਹੋਰ ਦੋ ਹਿੱਸੇ ਇਸ ਲਈ ਗੁੰਮ ਹੁੰਦੇ ਹਨ ਕਿਉਂਕਿ ਉਹ mangle ਨਿਯਮ ਵਿੱਚ ਕਦੇ ਨਹੀਂ ਦਿਸਦੇ, ਅਤੇ ਉਹ ਹਨ DNS ਤੇ IPv6।

ਭਰਮ: ਟਨਲ ਕਲਾਇੰਟ ਦੀ ਸੈਟਿੰਗ ਹੈ

ਰਾਊਟਰ ਵਾਲੇ ਪਾਸੇ ਦਾ VPN ਕਲਾਇੰਟ ਇੱਕ ਭਾਰੀ ਕੰਮ ਚੰਗੀ ਤਰ੍ਹਾਂ ਕਰਦਾ ਹੈ: ਉਹ 0.0.0.0/0 ਮੁੱਖ ਰਾਊਟਿੰਗ ਟੇਬਲ ਵਿੱਚ ਪਾਉਂਦਾ ਹੈ ਅਤੇ ਉਸ ਨੂੰ ਟਨਲ ਵੱਲ ਮੋੜਦਾ ਹੈ। WireGuard ਇਹ AllowedIPs ਤੋਂ ਲੈਂਦਾ ਹੈ, OpenVPN ਅਤੇ ਸਰਵਰ ਵੱਲੋਂ ਧੱਕੇ redirect-gateway ਤੋਂ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਰਾਊਟਰ ਪਿੱਛੇ ਹਰ ਹੋਸਟ ਦਾ ਰਾਹ ਬਦਲਦੇ ਹਨ। AllowedIPs ਨੂੰ ਤੰਗ ਕਰਨਾ ਜਾਂ route-nopull ਜੋੜਨਾ ਇਹ ਬਦਲਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕੀ ਇੰਸਟਾਲ ਕਰਦਾ ਹੈ। ਇਹ ਨਹੀਂ ਬਦਲਦਾ ਕਿ ਉਹ ਇੰਸਟਾਲੇਸ਼ਨ ਕਿਸ ਉੱਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ, ਕਿਉਂਕਿ ਕਲਾਇੰਟ ਕਦੇ ਡਿਵਾਈਸ ਨਹੀਂ ਵੇਖਦਾ। ਉਹ ਸਿਰਫ਼ ਪੈਕਟ ਵੇਖਦਾ ਹੈ।

ਸਰੋਤ ਜਾਂ ਮੰਜ਼ਿਲ ਅਨੁਸਾਰ ਚੋਣ ਰਾਊਟਿੰਗ ਦਾ ਫੈਸਲਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਰਾਊਟਰ ਦੀ ਪਾਲਿਸੀ ਪਰਤ ਦਾ ਹਿੱਸਾ ਹੈ: RouterOS ਉੱਤੇ mangle ਨਿਯਮ ਤੇ ਦੂਜੀ ਟੇਬਲ, OpenWrt ਜਾਂ DD-WRT ਉੱਤੇ MARK ਤੇ ip rule, ਜਾਂ pfSense ਉੱਤੇ ਗੇਟਵੇ ਟਨਲ ਵਾਲਾ ਫਾਇਰਵਾਲ ਨਿਯਮ। Netgate ਦੀ WireGuard ਕਲਾਇੰਟ ਰੈਸਿਪੀ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹਨ ਵਾਲੀ ਚੀਜ਼ ਹੈ, ਕਿਉਂਕਿ ਉਸ ਪਲੇਟਫਾਰਮ ਉੱਤੇ ਨਿਯਮ ਦਾ ਗੇਟਵੇ, ਇੰਟਰਫੇਸ ਦੀ ਤੋਂਕਣ ਅਤੇ ਬਾਹਰ ਜਾਣ ਵਾਲੀ NAT ਐਂਟਰੀ ਸਭ ਨੂੰ ਇੱਕਮੱਤ ਹੋਣਾ ਪੈਂਦਾ ਹੈ, ਇੱਕ ਵੀ ਕਲਾਇੰਟ ਟਨਲ ਵਰਤਣ ਤੋਂ ਪਹਿਲਾਂ।

ਭਰਮ ਦਾ ਦੂਜਾ ਅੱਧਾ ਹਿੱਸਾ ਦੂਜਾ ਰਾਊਟਰ ਹੈ। ਦੂਜਾ ਬਾਕਸ ਖਰੀਦਣਾ, ਜਾਂ ਡਿਵਾਈਸ ਨੂੰ ਗੈਸਟ SSID ਉੱਤੇ ਲਿਜਾਣਾ ਅਕਸਰ ਕੰਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਕਾਰਨ ਹਾਰਡਵੇਅਰ ਨਹੀਂ: ਇਹ ਡਿਵਾਈਸ ਨੂੰ ਆਪਣੇ ਸਬਨੈੱਟ ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਫਰਮਵੇਅਰ ਵੱਲੋਂ ਪਹਿਲਾਂ ਹੀ ਸਮਝਿਆ ਜਾਂਦਾ ਸਰੋਤ ਚੋਣਕਾਰ ਮਿਲਦਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਆਪਣੇ ਰਾਊਟਰ ਉੱਤੇ ਉਹ ਸੈਗਮੈਂਟ ਪਰਿਭਾਸ਼ਿਤ ਕਰ ਸਕਦੇ ਹੋ, ਤਾਂ ਵਾਧੂ ਬਾਕਸ ਉਹ ਸਮੱਸਿਆ ਹੱਲ ਕਰਦਾ ਹੈ ਜੋ ਤੁਹਾਡੇ ਕੋਲ ਨਹੀਂ ਸੀ।

ਹਿੱਸਾ ਇੱਕ: ਉਹ ਟਨਲ ਜੋ ਡਿਫਾਲਟ ਰੂਟ ਨਹੀਂ

RouterOS ਉੱਤੇ ਡਿਫਾਲਟ ਰੂਟ ਤੋਂ ਬਿਨਾਂ ਕਲਾਇੰਟ ਜੋੜੋ ਅਤੇ ਟਨਲ ਨੂੰ ਆਪਣੀ ਟੇਬਲ ਦਿਓ। ਪਹਿਲਾ ਰੂਟ ਨਿਸ਼ਾਨ ਲੱਗਾ ਡਿਫਾਲਟ ਹੈ; ਦੂਜਾ ਫੇਲ੍ਹ ਹੋਣ ਦਾ ਅੱਧਾ ਹੈ।

/ip route add dst-address=0.0.0.0/0 gateway=VPN_GATEWAY_IP routing-mark=vpn distance=1
/ip route add dst-address=0.0.0.0/0 type=unreachable routing-mark=vpn distance=2

ਨਾ ਪਹੁੰਚਣ ਵਾਲਾ ਰੂਟ ਹੀ ਕਾਰਨ ਹੈ ਕਿ ਨਿਸ਼ਾਨ ਲੱਗੀ ਟੇਬਲ ਮੁੱਖ ਟੇਬਲ ਦੀ ਅਪਵਾਦ ਸੂਚੀ ਨੂੰ ਹਰਾਉਂਦੀ ਹੈ। ਟਨਲ ਡਿੱਗਣ ਵੇਲੇ ਨਿਸ਼ਾਨ ਲੱਗੇ ਪੈਕਟ ਤੁਰੰਤ ਨਾ ਪਹੁੰਚਣ ਦਾ ਜਵਾਬ ਪਾਉਂਦੇ ਹਨ, ਚੁੱਪਚਾਪ WAN ਵੱਲ ਵਾਪਸ ਨਹੀਂ ਜਾਂਦੇ, ਇਸ ਲਈ ਖਰਾਬੀ ਇੱਕ ਘੰਟੇ ਬਾਅਦ ਵੇਖੇ ਜਾਣ ਵਾਲੇ ਭੂ-ਟਿਕਾਣਾ ਸਫ਼ੇ ਉੱਤੇ ਨਹੀਂ, ਸਗੋਂ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਗਲਤੀ ਸੁਨੇਹੇ ਵਿੱਚ ਦਿਸਦੀ ਹੈ।

RouterOS 7 ਉਹ ਵੱਖ ਕਰਦਾ ਹੈ ਜੋ 6.x ਨੇ ਇਕੱਠਾ ਰੱਖਿਆ ਸੀ: ਤੁਸੀਂ ਟੇਬਲ /routing table add name=vpn fib ਨਾਲ ਐਲਾਨਦੇ ਹੋ, ਫਿਰ ਰੂਟ ਉੱਤੇ ਅਤੇ mangle ਨਿਯਮ ਵਿੱਚ ਨਾਮ ਨਾਲ ਉਸ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹੋ। ਟੇਬਲ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤੇ ਬਿਨਾਂ routing-mark ਲਿਖਣ ਵਾਲਾ 6.x ਟੁਕੜਾ ਸਾਫ਼ ਲੋਡ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਚੀਜ਼ ਨਾਲ ਨਹੀਂ ਮਿਲਦਾ। ਦੂਜਾ ਕਲਾਸਿਕ ਦੋ 0.0.0.0/1 ਅੱਧ ਹਨ, ਜਾਂ ਇੱਕੋ ਟੇਬਲ ਵਿੱਚ ਇੱਕੋ ਦੂਰੀ ਉੱਤੇ ਦੋ ਡਿਫਾਲਟ: ਕਰਨਲ ਇੱਕ ਚੁਣਦਾ ਹੈ, ਅਤੇ ਰੀਬੂਟ ਤੋਂ ਬਾਅਦ ਵਿਵਹਾਰ ਬਦਲ ਸਕਦਾ ਹੈ।

ਹਿੱਸਾ ਦੋ: ਰੂਟ ਭਾਲਣ ਤੋਂ ਪਹਿਲਾਂ ਨਿਸ਼ਾਨ ਲਾਓ

ਕਿਹੜੇ ਪੈਕਟ ਉਸ ਟੇਬਲ ਵਿੱਚ ਜਾਣਗੇ ਇਹ ਚੋਣਕਾਰ ਤੈਅ ਕਰਦਾ ਹੈ। RouterOS ਆਮ ਤੌਰ ਉੱਤੇ ਮੰਜ਼ਿਲ ਪਾਲਿਸੀ ਲਈ ਪਤਿਆਂ ਦੀ ਸੂਚੀ ਨਾਲ, ਜਾਂ ਡਿਵਾਈਸ ਪਾਲਿਸੀ ਲਈ ਸਰੋਤ ਪਤੇ ਨਾਲ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ:

/ip firewall mangle add chain=prerouting src-address=192.168.88.50 action=mark-routing new-routing-mark=vpn
/ip firewall mangle add chain=prerouting dst-address-list=via-vpn action=mark-routing new-routing-mark=vpn
/ip firewall address-list add list=via-vpn address=203.0.113.10

Linux ਫਰਮਵੇਅਰ netfilter ਮਾਰਕ ਅਤੇ ਨਿਸ਼ਾਨ ਲੱਗੇ ਪੈਕਟਾਂ ਨੂੰ ਤੁਹਾਡੇ ਭਰੇ ਟੇਬਲ ਵੱਲ ਭੇਜਣ ਵਾਲੇ ਨਿਯਮ ਨਾਲ ਉਹੀ ਕੰਮ ਕਰਦਾ ਹੈ:

iptables -t mangle -A PREROUTING -p tcp --dport 27000:27050 -j MARK --set-mark 0x200
ip route add default dev tun0 table 100
ip rule add fwmark 0x200 table 100

ਚੇਨ ਸ਼ੈਲੀ ਦੀ ਚੋਣ ਨਹੀਂ ਹੈ। ਜਦੋਂ ਪੈਕਟ FORWARD ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਤਾਂ ਰੂਟ ਦੀ ਭਾਲ ਪਹਿਲਾਂ ਹੀ ਹੋ ਚੁੱਕੀ ਹੁੰਦੀ ਹੈ, ਇਸ ਲਈ ਉੱਥੇ MARK ਜਾਂ DROP ਸਿਰਫ਼ ਮੁੜ ਲਿਖ ਸਕਦਾ ਹੈ ਜਾਂ ਸੁੱਟ ਸਕਦਾ ਹੈ। ਮਾਰਕ PREROUTING ਵਿੱਚ ਅੱਗੇ ਭੇਜੇ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਲਈ ਅਤੇ OUTPUT ਵਿੱਚ ਰਾਊਟਰ ਵੱਲੋਂ ਬਣਾਏ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਲਈ ਪੈਣਾ ਚਾਹੀਦਾ ਹੈ, ਜਿੱਥੇ ਰਾਊਟਰ ਦੇ DNS, NTP ਤੇ ਅੱਪਡੇਟ ਜਾਂਚ ਰਹਿੰਦੇ ਹਨ। ਉਹੀ ਆਉਟਪੁੱਟ ਰਾਹ ਇਹ ਆਮ ਕਾਰਨ ਹੈ ਕਿ ਪੂਰੀ ਤਰ੍ਹਾਂ ਟਨਲ ਕੀਤੀ ਸੈਟਅੱਪ ਲੀਕ ਟੈਸਟ ਵਿੱਚ ਵੀ ISP ਰਿਜ਼ੌਲਵਰ ਤੋਂ ਜਵਾਬ ਦਿੰਦੀ ਹੈ।

ਡਿਵਾਈਸ ਪਾਲਿਸੀ ਨੂੰ ਅਜਿਹਾ ਮੇਲ ਚਾਹੀਦਾ ਹੈ ਜੋ ਖਿਸਕੇ ਨਾ। DHCP ਵਿੱਚ ਪਤਾ ਰਾਖਵਾਂ ਕਰੋ, ਜਾਂ ਸਮਰਪਿਤ ਸੈਗਮੈਂਟ ਲਈ ਇੰਟਰਫੇਸ ਮਿਲਾਓ; ਬਾਅਦ ਵਿੱਚ ਦੂਜੀ ਡਿਵਾਈਸ ਉੱਤੇ ਜਾਣ ਵਾਲਾ ਪਤਾ ਚੁੱਪਚਾਪ ਗਲਤ ਕਲਾਇੰਟ ਉੱਤੇ ਟਨਲ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਆਪਣੇ ਸਬਨੈੱਟ ਵਾਲਾ ਹਰ SSID ਬ੍ਰਿਜ ਇਸੇ ਵਿਚਾਰ ਦਾ ਵਧੇਰੇ ਟਿਕਾਊ ਰੂਪ ਹੈ, ਅਤੇ ਇਹ IPv6 ਨਿਯਮਾਂ ਨੂੰ ਵੀ ਰਹਿਣ ਦੀ ਥਾਂ ਦਿੰਦਾ ਹੈ।

ਹਿੱਸਾ ਤਿੰਨ: NAT, DNS ਅਤੇ LAN ਅਪਵਾਦ

ਟਨਲ ਰਾਹੀਂ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਉਹ ਸਰੋਤ ਪਤਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਨੂੰ ਪਰਲਾ ਪਾਸਾ ਜਵਾਬ ਦੇਵੇਗਾ। ਅਨੁਵਾਦ ਨੂੰ ਟਨਲ ਇੰਟਰਫੇਸ ਤੱਕ ਸੀਮਤ ਕਰੋ: RouterOS ਉੱਤੇ out-interface=VPN_NAME, Linux ਉੱਤੇ -o tun0, pfSense ਉੱਤੇ ਮਿਲਦੀ ਬਾਹਰ ਜਾਣ ਵਾਲੀ NAT ਐਂਟਰੀ। ਉਸ ਸੀਮਾ ਤੋਂ ਬਿਨਾਂ masquerade ਨਿਯਮ ਉਹ ਟ੍ਰੈਫਿਕ ਵੀ ਮੁੜ ਲਿਖਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਛੱਡਣਾ ਚਾਹੁੰਦੇ ਸੀ, ਅਤੇ ਲੱਛਣ ਇਹ ਹੈ ਕਿ ਟਨਲ ਤੋਂ ਬਿਨਾਂ ਡਿਵਾਈਸ ਆਪਣਾ ਜਨਤਕ ਪਤਾ ਗੁਆ ਦਿੰਦੀ ਹੈ।

LAN ਅਪਵਾਦ ਟਨਲ ਨਾਲੋਂ ਵੀ ਵੱਧ ਸਹਾਇਤਾ ਥਰੈਡ ਬਣਾਉਂਦਾ ਹੈ। ਜੇ ਨਿਸ਼ਾਨ ਲੱਗੀ ਟੇਬਲ ਵਿੱਚ ਸਿਰਫ਼ ਡਿਫਾਲਟ ਰੂਟ ਹੈ, ਤਾਂ ਚੁਣੀ ਡਿਵਾਈਸ ਤੋਂ ਪ੍ਰਿੰਟਰ ਜਾਂ NAS ਦੀ ਮੰਜ਼ਿਲ ਉਸ ਡਿਫਾਲਟ ਨਾਲ ਮਿਲ ਜਾਂਦੀ ਹੈ ਅਤੇ ਟਨਲ ਵਿੱਚ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ। ਉਸੇ ਟੇਬਲ ਵਿੱਚ LAN ਰੂਟ ਜੋੜੋ, ਜਾਂ ਚੋਣਕਾਰ ਵਿੱਚ ਸਥਾਨਕ ਸਬਨੈੱਟ ਛੱਡੋ; ਦੋਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ, ਅਤੇ ਬਾਅਦ ਵਿੱਚ VLAN ਜੋੜਨ ਵੇਲੇ ਛੱਡਣਾ ਸਹੀ ਰੱਖਣਾ ਸੌਖਾ ਹੁੰਦਾ ਹੈ।

DNS ਵੱਖਰਾ ਰਾਹ ਲੈਂਦਾ ਹੈ। ਰਾਊਟਰ ਵੱਲੋਂ ਅੱਗੇ ਭੇਜੀਆਂ ਕਿਊਰੀਆਂ ਰਾਊਟਰ ਤੋਂ ਪੈਦਾ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ OUTPUT ਦੀ ਪਾਲਣਾ ਕਰਦੀਆਂ ਹਨ, ਅੱਗੇ ਭੇਜੇ ਮਾਰਕ ਦੀ ਨਹੀਂ, ਇਸ ਲਈ ਪੂਰੀ ਤਰ੍ਹਾਂ ਟਨਲ ਕੀਤਾ ਲੈਪਟਾਪ ਵੀ ISP ਰਾਹੀਂ ਨਾਮ ਹੱਲ ਕਰ ਸਕਦਾ ਹੈ। ਕਲਾਇੰਟਾਂ ਨੂੰ ਟਨਲ ਰਾਹੀਂ ਪਹੁੰਚਣ ਵਾਲੇ ਰਿਜ਼ੌਲਵਰ ਵੱਲ ਮੋੜੋ, ਜਾਂ ਰਾਊਟਰ ਦੇ ਆਪਣੇ port-53 ਟ੍ਰੈਫਿਕ ਨੂੰ ਨਿਸ਼ਾਨ ਲਾਓ, ਫਿਰ ਜਵਾਬ ਵੈੱਬ ਬੇਨਤੀ ਨਾਲ ਸਫ਼ਰ ਕੀਤਾ ਮੰਨਣ ਦੀ ਥਾਂ ਹੱਲ ਹੋਇਆ ਪਤਾ ਜਾਂਚੋ।

ਜਦੋਂ ਨਿਯਮ ਮਿਲਦਾ ਹੈ ਪਰ ਐਪ ਫਿਰ ਵੀ WAN ਵਰਤਦੀ ਹੈ

ਮੰਜ਼ਿਲ ਸੂਚੀਆਂ ਛੇਤੀ ਪੁਰਾਣੀਆਂ ਹੋ ਜਾਂਦੀਆਂ ਹਨ। ਨਾਮ ਅਜਿਹੇ ਪਤੇ ਉੱਤੇ ਹੱਲ ਹੁੰਦਾ ਹੈ ਜੋ ਸੂਚੀ ਵਿੱਚ ਨਹੀਂ, ਇਸ ਲਈ ਬੇਨਤੀ WAN ਰਾਹੀਂ ਜਾਂਦੀ ਹੈ, ਜਦਕਿ ਸੂਚੀ ਵਾਲੇ ਪਤੇ ਉੱਤੇ ਕੀਤਾ ਹਰ ਟੈਸਟ ਚੱਲਿਆ ਸੀ। ਸੂਚੀ ਨੂੰ ਉਸੇ ਰਿਜ਼ੌਲਵਰ ਤੋਂ ਤਾਜ਼ਾ ਕਰੋ ਜੋ ਕਲਾਇੰਟ ਵਰਤਦਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਸੱਚਮੁੱਚ ਇੱਕ ਡਿਵਾਈਸ ਤੋਂ ਸਾਰਾ ਟ੍ਰੈਫਿਕ ਚਾਹੀਦਾ ਹੋਵੇ ਤਾਂ ਸਰੋਤ-ਆਧਾਰਿਤ ਚੋਣਕਾਰ ਨੂੰ ਤਰਜੀਹ ਦਿਓ।

IPv6 ਚੁੱਪ ਚੋਰ ਰਾਹ ਹੈ। ਡਿਵਾਈਸ ਦਾ ਆਪਣਾ ਡਿਫਾਲਟ ਰੂਟ ਅਤੇ ਆਪਣਾ ਨਿਯਮ ਸਮੂਹ ਵਾਲਾ ਦੂਜਾ ਪਤਾ ਪਰਿਵਾਰ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ IPv4 ਪਤੇ ਨਾਲ ਮਿਲਾਉਣਾ ਅੱਧੀ ਪਾਲਿਸੀ ਹੈ। ਉਹੀ ਚੋਣਕਾਰ ip6tables ਜਾਂ nftables ਦੇ ਬਰਾਬਰ ਉੱਤੇ ਲਾਗੂ ਕਰੋ, ਜਾਂ ਉਸ ਸੈਗਮੈਂਟ ਵਿੱਚ IPv6 ਨੂੰ ਹਾਦਸੇ ਨਾਲ ਨਹੀਂ, ਜਾਣ-ਬੁੱਝ ਕੇ ਬੰਦ ਕਰੋ।

ਸਥਾਪਿਤ ਕਨੈਕਸ਼ਨ ਵੀ ਮਾਅਨੇ ਰੱਖਦੇ ਹਨ। ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਬਣੀ conntrack ਐਂਟਰੀ ਮਿਆਦ ਪੁੱਗਣ ਤੱਕ ਪੁਰਾਣੇ ਰਾਹ ਉੱਤੇ ਚੱਲਦੀ ਰਹਿੰਦੀ ਹੈ, ਇਸ ਲਈ ਸੋਧ ਵੇਲੇ ਖੁੱਲ੍ਹਾ ਰਿਹਾ ਬ੍ਰਾਊਜ਼ਰ ਕਦੇ ਲਾਗੂ ਨਾ ਹੋਏ ਨਿਯਮ ਵਾਂਗ ਹੀ ਦਿਸਦਾ ਹੈ। ਪਾਲਿਸੀ ਦਾ ਫੈਸਲਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ, ਜਾਂ ਹਾਲਤ ਖਾਲੀ ਕਰੋ।

ਦੋ ਡਿਵਾਈਸਾਂ ਅਤੇ ਰੀਬੂਟ ਨਾਲ ਪਰਖੋ

ਉਹ ਡਿਵਾਈਸ ਟੈਸਟ ਕਰੋ ਜੋ ਟਨਲ ਵਿੱਚ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਉਹ ਜੋ ਨਹੀਂ ਹੋਣੀ ਚਾਹੀਦੀ, ਅਤੇ ਰਫ਼ਤਾਰ ਦੇ ਅੰਕ ਦੀ ਥਾਂ ਦੂਜਾ ਹਾਪ ਤੁਲਨਾ ਕਰੋ। ਹਰ ਇੱਕ ਤੋਂ traceroute ਦੂਜੇ ਹਾਪ ਉੱਤੇ ਟਨਲ ਦਾ ਗੇਟਵੇ ਜਾਂ ISP ਦਾ ਗੇਟਵੇ ਦਿਖਾਉਂਦਾ ਹੈ; ਜੇ ਦੋਵੇਂ ਇੱਕੋ ਜਿਹੇ ਦਿਸਣ ਤਾਂ ਮਾਰਕ ਜਾਂ ਟੇਬਲ ਨਿਯਮ ਦੇ ਕਹੇ ਅਨੁਸਾਰ ਨਹੀਂ ਕਰ ਰਹੇ। ਟੈਸਟ ਲਈ ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਵਰਤੋ।

ਫਿਰ ਰੀਬੂਟ ਕਰੋ। ਚੱਲ ਰਹੀ ਪਾਲਿਸੀ ਬਿਗੜਨ ਦੀ ਥਾਂ ਸ਼ੁਰੂਆਤੀ ਕ੍ਰਮ ਹੈ, ਕਿਉਂਕਿ ਨਾ ਪਹੁੰਚਣ ਵਾਲਾ ਰੂਟ ਲੱਗਣ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਇੰਟ ਚੱਲ ਰਿਹਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਪੁਰਾਣਾ ਨਿਯਮ ਸਮੂਹ ਵਾਪਸ ਲਿਆਉਣ ਵਾਲਾ ਸੰਭਾਲਿਆ ਸਨੈਪਸ਼ਾਟ ਤੁਹਾਡੀ ਟੇਬਲ ਉੱਤੇ ਲਿਖ ਦੇਵੇਗਾ। ਹਰ ਨਿਯਮ ਸੰਭਾਲੀ ਸੰਰਚਨਾ ਵਿੱਚ ਹੈ ਅਤੇ ਨਿਸ਼ਾਨ ਲੱਗਾ ਡਿਫਾਲਟ ਬੂਟ ਤੋਂ ਬਾਅਦ ਮੌਜੂਦ ਹੈ, ਇਹ ਸਿਰਫ਼ ਟਾਈਪ ਕਰਨ ਤੋਂ ਬਾਅਦ ਨਹੀਂ, ਜਾਂਚੋ।

ਜੇ ਕੁਝ ਫੇਲ ਹੋਵੇ ਤਾਂ ਪਹਿਲਾਂ ਮਾਰਕ ਹਟਾਓ ਅਤੇ ਵੇਖੋ ਕਿ ਆਮ ਟ੍ਰੈਫਿਕ ਵਾਪਸ ਆਉਂਦਾ ਹੈ, ਫਿਰ ਟੇਬਲ ਹਟਾਓ। ਇਹ ਕ੍ਰਮ ਦੱਸਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਰਾਊਟਿੰਗ ਦੀ ਸਮੱਸਿਆ ਪਿੱਛੇ ਹੋ ਕਿ ਫਾਇਰਵਾਲ ਦੀ, ਅਤੇ ਕੰਮ ਮੁੱਕਣ ਤੱਕ ਘਰ ਵਿੱਚ ਚੱਲਦਾ ਪ੍ਰਿੰਟਰ ਛੱਡ ਦਿੰਦਾ ਹੈ।