AllowedIPs ਇੱਕ ਰਾਊਟਿੰਗ ਸੂਚੀ ਹੈ, ਫਾਇਰਵਾਲ ਨਿਯਮ ਨਹੀਂ

ਬਹੁਤੇ ਲੋਕ AllowedIPs ਨੂੰ ਇਜਾਜ਼ਤ ਸੂਚੀ ਵਜੋਂ ਪੜ੍ਹਦੇ ਹਨ, ਭਾਵ ਉਹ ਪਤੇ ਜੋ ਪੀਅਰ ਨਾਲ ਜੁੜ ਸਕਦੇ ਹਨ, ਲਗਭਗ ਸੁਰੰਗ ਲਈ ਲਿਖੇ ਫਾਇਰਵਾਲ ਨਿਯਮ ਵਾਂਗ। ਅਜਿਹਾ ਨਹੀਂ ਹੈ। ਇਹ ਖੇਤਰ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਕੰਮ ਕਰਨ ਵਾਲਾ ਰਾਊਟਿੰਗ ਸਾਰਣੀ ਹੈ: ਇਹ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਪੈਕਟ ਲਈ ਪੀਅਰ ਚੁਣਦਾ ਹੈ ਅਤੇ ਅੰਦਰ ਆਉਣ ਵਾਲੇ ਪੈਕਟ ਦੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ। ਇਸਨੂੰ ਪਹੁੰਚ ਸੂਚੀ ਵਜੋਂ ਪੜ੍ਹਨ ਨਾਲ ਅਜਿਹੀਆਂ ਸੰਰਚਨਾਵਾਂ ਬਣਦੀਆਂ ਹਨ ਜੋ ਕਿਸੇ ਨੇ ਨਾ ਮੰਗਿਆ ਟ੍ਰੈਫਿਕ ਰਾਊਟ ਕਰਦੀਆਂ ਹਨ।

ਇੱਕ ਖੇਤਰ, ਦੋ ਪਾਠਕ: ਬਾਹਰ ਜਾਣ ਦੀ ਚੋਣ ਅਤੇ ਸਰੋਤ ਜਾਂਚ

ਕਲਾਇੰਟ ਉੱਤੇ, ਪ੍ਰੀਫਿਕਸ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਕਿਹੜੇ ਟਿਕਾਣੇ ਉਸ ਪੀਅਰ ਤੱਕ ਜਾਂਦੇ ਹਨ ਅਤੇ ਕਿਹੜੇ ਆਮ ਨੈੱਟਵਰਕ ਉੱਤੇ ਰਹਿੰਦੇ ਹਨ। ਇਸ ਲਈ 0.0.0.0/0 ਲਈ ਐਂਟਰੀ ਹਰ IPv4 ਟਿਕਾਣੇ ਨੂੰ ਫੜ ਲੈਂਦੀ ਹੈ, ਅਤੇ ਇਸੇ ਲਈ ਪੂਰੀ ਸੁਰੰਗ ਪ੍ਰੋਫਾਈਲ ਆਯਾਤ ਕਰਨ ਨਾਲ ਆਮ ਬ੍ਰਾਊਜ਼ਿੰਗ ਦੂਰ ਦੀ ਮਸ਼ੀਨ ਰਾਹੀਂ ਜਾਂਦੀ ਹੈ। ਤੰਗ ਐਂਟਰੀਆਂ ਉਲਟਾ ਕਰਦੀਆਂ ਹਨ: ਸਿਰਫ਼ ਤੁਹਾਡੇ ਸੂਚੀਬੱਧ ਨੈੱਟਵਰਕ ਰਾਊਟ ਕਰਦੀਆਂ ਹਨ ਅਤੇ ਬਾਕੀ ਸਭ ਜਿਥੇ ਸੀ ਉਥੇ ਛੱਡ ਦਿੰਦੀਆਂ ਹਨ। WireGuard ਦਸਤਾਵੇਜ਼ ਦਾ ਕ੍ਰਿਪਟੋਕੀ ਰਾਊਟਿੰਗ ਭਾਗ ਦੋਵੇਂ ਕੰਮ ਇੱਕੋ ਥਾਂ ਦੱਸਦਾ ਹੈ: ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਪੀਅਰ ਦੀ ਚੋਣ ਅਤੇ ਅੰਦਰ ਆਉਣ ਵਾਲੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ।

ਸਰਵਰ ਉੱਤੇ, ਉਹੀ ਖੇਤਰ ਦੱਸਦਾ ਹੈ ਕਿ ਹਰ ਪੀਅਰ ਕਿਹੜੇ ਸਰੋਤ ਪਤੇ ਵਰਤ ਸਕਦਾ ਹੈ। ਇਹ ਪੈਕਟ ਫਿਲਟਰ ਨਹੀਂ ਸਗੋਂ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਜਾਂਚ ਹੈ: ਜਿਸ ਪੈਕਟ ਦਾ ਅੰਦਰਲਾ ਸਰੋਤ ਪੀਅਰ ਦੀ ਸੂਚੀ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ, ਉਹ ਹੋਸਟ ਦੇ ਕਿਸੇ ਵੀ ਫਾਇਰਵਾਲ ਨੂੰ ਦਿਸਣ ਤੋਂ ਪਹਿਲਾਂ WireGuard ਦੇ ਅੰਦਰ ਹੀ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਦੋਵੇਂ ਕੰਮ ਇੱਕੋ ਸੂਚੀ ਸਾਂਝੀ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਸੇ ਲਈ ਕਿਤੇ ਹੋਰੋਂ ਕਾਪੀ ਕੀਤੀ ਸੂਚੀ ਉਸ ਥਾਂ ਗਲਤ ਵਿਵਹਾਰ ਕਰਦੀ ਹੈ ਜਿਸ ਬਾਰੇ ਤੁਸੀਂ ਸੋਚਿਆ ਨਹੀਂ।

ਕਲਾਇੰਟ ਬਲਾਕ ਉਹ ਥਾਂ ਹੈ ਜਿਥੋਂ ਇਹ ਬਹੁਤੀ ਉਲਝਣ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। ਵੰਡਿਆ ਸੁਰੰਗ ਦੂਰ ਦੇ ਨੈੱਟਵਰਕਾਂ ਦੇ ਨਾਂ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਪੂਰੀ ਸੁਰੰਗ ਉਹੀ ਖੇਤਰ ਹੈ ਜਿਸ ਵਿੱਚ ਡਿਫਾਲਟ ਪ੍ਰੀਫਿਕਸ ਹੁੰਦਾ ਹੈ:

[Peer]
# split tunnel: only these networks
AllowedIPs = 10.77.0.0/24, 192.168.30.0/24

[Peer]
# full tunnel: everything, both families
AllowedIPs = 0.0.0.0/0, ::/0

ਦੋਵੇਂ ਰੂਪ ਆਪਣੇ ਆਪ ਵਿੱਚ ਪੂਰੇ ਹਨ, ਅਤੇ ਉਹ ਕਦਮ ਨਹੀਂ ਬਲਕਿ ਬਦਲ ਹਨ। ਪਹਿਲਾ ਸਿਰਫ਼ ਉਹ ਦੋ ਨੈੱਟਵਰਕ ਸੁਰੰਗ ਰਾਹੀਂ ਭੇਜਦਾ ਹੈ; ਦੂਜਾ ਹਰ ਟਿਕਾਣਾ ਭੇਜਦਾ ਹੈ, ਅਤੇ ::/0 ਐਂਟਰੀ IPv4 ਡਿਫਾਲਟ ਵਿੱਚ IPv6 ਜੋੜਦੀ ਹੈ। ਤੁਸੀਂ ਜੋ ਵੀ ਚੁਣੋ, wg-quick ਰੂਟ ਸਥਾਪਤ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰਦੇ ਹੀ ਉਹ ਪ੍ਰੀਫਿਕਸ ਉਸ ਪੀਅਰ ਲਈ ਪੂਰਾ ਰਾਊਟਿੰਗ ਫੈਸਲਾ ਹੁੰਦੇ ਹਨ।

ਹੱਬ ਨੂੰ ਵੱਖਰੀ ਸੂਚੀ ਚਾਹੀਦੀ ਹੈ

ਹੱਬ ਹਰ ਕਲਾਇੰਟ ਦੇ ਸੁਰੰਗ ਪਤੇ ਨੂੰ ਹੋਸਟ ਪ੍ਰੀਫਿਕਸ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਨਾਲ ਹੀ ਉਸ ਕਲਾਇੰਟ ਦੇ ਪਿੱਛੇ ਸੱਚਮੁੱਚ ਮੌਜੂਦ ਕੋਈ ਵੀ ਨੈੱਟਵਰਕ। ਕਲਾਇੰਟ ਦੀ ਚੌੜੀ ਸੂਚੀ ਹਰ ਹੱਬ ਪੀਅਰ ਉੱਤੇ ਕਾਪੀ ਕਰਨ ਨਾਲ ਹੱਬ ਨੂੰ ਦੱਸਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਬਹੁਤ ਸਾਰੇ ਪੀਅਰ ਇੱਕੋ ਪਤੇ ਸਰੋਤ ਵਜੋਂ ਵਰਤ ਸਕਦੇ ਹਨ, ਅਤੇ ਇਹ ਪਤਾ ਯੋਜਨਾ ਨਹੀਂ ਹੈ। Endpoint ਖੇਤਰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਦੂਜੀ ਪਰਤ ਦਾ ਹੈ: ਇਹ ਪੀਅਰ ਦਾ ਬਾਹਰੀ ਪਤਾ ਅਤੇ ਪੋਰਟ ਦੱਸਦਾ ਹੈ, ਕਦੇ ਵੀ ਸੁਰੰਗ ਦੇ ਅੰਦਰਲਾ ਟਿਕਾਣਾ ਨਹੀਂ।

[Peer]
# laptop: tunnel address 10.77.0.2, office LAN behind it
AllowedIPs = 10.77.0.2/32, 192.168.30.0/24

ਹੋਸਟ ਪ੍ਰੀਫਿਕਸ ਸੁਰੰਗ ਪਤਾ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ ਅਤੇ ਨੈੱਟਵਰਕ ਪ੍ਰੀਫਿਕਸ ਕਲਾਇੰਟ ਦੇ ਪਿੱਛੇ ਜੋ ਹੈ ਉਹ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਜ਼ਰੂਰੀ ਹਨ। ਹੋਸਟ ਪ੍ਰੀਫਿਕਸ ਤੋਂ ਬਿਨਾਂ ਹੱਬ ਕਲਾਇੰਟ ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਵਾਪਸ ਨਹੀਂ ਭੇਜ ਸਕਦਾ, ਅਤੇ ਨੈੱਟਵਰਕ ਪ੍ਰੀਫਿਕਸ ਤੋਂ ਬਿਨਾਂ ਉਸ ਦੇ ਪਿੱਛੇ ਦਾ LAN ਅਪਹੁੰਚ ਰਹਿੰਦਾ ਹੈ; ਜਿਸ ਪੀਅਰ ਦੇ ਪਿੱਛੇ ਕੁਝ ਨਹੀਂ ਉਸਨੂੰ ਸਿਰਫ਼ ਹੋਸਟ ਪ੍ਰੀਫਿਕਸ ਮਿਲਦਾ ਹੈ।

ਰੂਟ ਸਥਾਪਨਾ ਛੱਡਣ ਨਾਲ ਖੋਖਲਾ ਰਹਿ ਜਾਂਦਾ ਹੈ

wg-quick, ਜੋ ਸੰਰਚਨਾ ਫਾਈਲ ਤੋਂ ਇੰਟਰਫੇਸ ਉਠਾਉਂਦਾ ਸਹਾਇਕ ਹੈ, ਉਸ ਕੰਮ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਇੰਟਰਫੇਸ ਪਤੇ ਅਤੇ ਰੂਟ ਸਥਾਪਤ ਕਰਦਾ ਹੈ। Table = off ਸੈੱਟ ਕਰਨ ਨਾਲ ਸਹਾਇਕ ਨੂੰ ਰੂਟ ਦਾ ਕੰਮ ਛੱਡਣ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਬਦਲ ਸਥਾਪਤ ਨਹੀਂ ਕਰਦਾ ਅਤੇ ਨਿੱਜੀ ਨੈੱਟਵਰਕ ਨੂੰ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਜਦੋਂ ਸਵੈਚਾਲਿਤ ਰੂਟ ਪਹਿਲਾਂ ਹੀ ਕੰਮ ਕਰ ਰਹੇ ਹਨ, ਤਾਂ ਲੋੜੀਂਦੇ ਪ੍ਰੀਫਿਕਸ ਦੇ ਨਾਂ ਦੱਸਣਾ ਵਧੇਰੇ ਸਪਸ਼ਟ ਸੰਰਚਨਾ ਹੈ। ਰੂਟ ਪ੍ਰਬੰਧਨ ਬੰਦ ਕਰਕੇ ਬਦਲ ਨਾ ਲਿਖਣਾ ਡਿਜ਼ਾਈਨ ਨਹੀਂ, ਇਹ ਇੱਕ ਛੋਟ ਹੈ।

ਮੂਲ wg ਸੰਦ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ: ਇਹ ਇੰਟਰਫੇਸ ਸੰਰਚਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਰੂਟਾਂ ਨੂੰ ਕਦੇ ਨਹੀਂ ਛੂਹਦਾ, ਇਸ ਲਈ ਇਸ ਉੱਤੇ ਸਿੱਧਾ ਬਣਿਆ ਸੈੱਟਅੱਪ ਆਪਣੇ ਰੂਟ ਹੁਕਮ ਚਾਹੁੰਦਾ ਹੈ। ਇੱਕ ਸੰਦ ਲਈ ਲਿਖੀਆਂ ਹਦਾਇਤਾਂ ਦੂਜੇ ਨਾਲ ਪਾਲਣ ਕਰਨ ਵੇਲੇ ਗਲਤ ਲੱਗ ਸਕਦੀਆਂ ਹਨ। ਸਫਲ ping ਵੀ ਕਮਜ਼ੋਰ ਸਬੂਤ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੇ ਹਰ ਐਪਲੀਕੇਸ਼ਨ ਰਾਹ ਦੀ ਥਾਂ ਸਿਰਫ਼ ਇੱਕ ਰਾਹ ਜਾਂਚਦਾ ਹੈ।

DNS ਅਤੇ IPv6 ਵੱਖੋ-ਵੱਖ ਨਿਰਧਾਰਿਤ ਹੁੰਦੇ ਹਨ

ਸੁਰੰਗ ਜੋ DNS ਸਰਵਰ ਪਤਾ ਘੋਸ਼ਿਤ ਕਰਦਾ ਹੈ ਉਹ ਜਾਂਚੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਤੁਹਾਡੇ ਚੁਣੇ ਪ੍ਰੀਫਿਕਸਾਂ ਰਾਹੀਂ ਉਸ ਪਤੇ ਤੱਕ ਰੂਟ ਮੌਜੂਦ ਹੈ। ਰਿਜ਼ੌਲਵਰ ਸੈਟਿੰਗ ਰਿਜ਼ੌਲਵਰ ਨੂੰ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦੀ, ਅਤੇ ਸੁਰੰਗ ਤੰਗ ਕਰਨ ਨਾਲ ਉਥੇ ਜਾਣ ਵਾਲਾ ਰੂਟ ਚੁੱਪਚਾਪ ਹਟ ਸਕਦਾ ਹੈ। IPv6 ਵੀ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਸਹੀ IPv4 ਵੰਡ ਅਜੇ ਵੀ ਭੌਤਿਕ ਲਿੰਕ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਨ ਵਾਲੇ IPv6 ਡਿਫਾਲਟ ਰੂਟ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ। ਇੱਕ ਪੀਅਰ ਬਲਾਕ ਸੰਪਾਦਿਤ ਕਰਦਿਆਂ ਤਿੰਨ ਵੱਖਰੇ ਫੈਸਲੇ ਇਕੱਠੇ ਬਦਲ ਸਕਦੇ ਹਨ।

ਫਿਰ ਜਾਣੀ-ਪਛਾਣੀ ਸ਼ੁਰੂਆਤੀ ਸੰਰਚਨਾ ਤੋਂ ਇੱਕ ਨਿੱਜੀ ਸਰੋਤ ਅਤੇ ਇੱਕ ਆਮ ਵੈੱਬਸਾਈਟ ਖੋਲ੍ਹੋ। ਜੇ ਸਰੋਤ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਅਤੇ ਬ੍ਰਾਊਜ਼ਿੰਗ ਅਜੇ ਵੀ ਸਥਾਨਕ ਕਨੈਕਸ਼ਨ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਵੰਡ ਤੁਹਾਡੀ ਮੰਗ ਅਨੁਸਾਰ ਕੰਮ ਕਰਦੀ ਹੈ। ਜੇ ਉਸੇ ਪਲ ਬ੍ਰਾਊਜ਼ਿੰਗ ਟੁੱਟ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਸੁਰੰਗ ਨੇ ਡਿਫਾਲਟ ਰੂਟ ਲੈ ਲਿਆ ਹੈ ਅਤੇ ਪ੍ਰੀਫਿਕਸ ਸੂਚੀ ਹੀ ਵੇਖਣ ਦੀ ਥਾਂ ਹੈ।