دوه ګونی NAT او ستاسو VPN: کلاینت کار کوي، سرور نه

ستاسو روټر د بل روټر شاته دی، WAN پته شخصي ده، او VPN کلاینت بیا هم نښلوي. دا ترکیب هغو خلکو ته حیرانتیا ده چې تمه لري دوه ګونی NAT تونلونه مات کړي، خو ژباړه تر ټولو ښه هماغه بهر وتونکي اړیکې اداره کوي. د هماغو دوو پوړونو شاته VPN سرور کوربه کول هغه حالت دی چې معمولاً ناکامېږي. له هر څه بدلولو دمخه د اړیکې لوری رسم کړئ.

لومړی د اړیکې لوری رسم کړئ

د داخلي روټر د حالت پاڼه پرانیزئ او د هغه WAN پته ولیکئ، بیا یې له هغې پتې سره پرتله کړئ چې یو عامه خدمت تاسو ته رپورټ کوي. که دواړه توپیر ولري، ستاسو د روټر او انټرنېټ ترمنځ لږ تر لږه یو ژباړونکی شته. که WAN پته 100.64.0.0/10 په حد کې وي، بهرنی ژباړونکی ښایي ستاسو د عرضه کوونکي وي، او تاسو پرې کنټرول نه لرئ. دا دوه حقایقې ټاکي چې له راتلونکو ګامونو کوم یو کولی شي کار وکړي.

curl -s https://ifconfig.me
ip -brief address
traceroute -n 1.1.1.1

دوه ګونی NAT دوه ګونی VPN نه دی. ژباړه پتې او پورټونه بیا لیکي؛ دوهم کوډ شوی تونل نه زیاتوي، او هېڅ شی کوډ نه کوي. دا دوه مفکورې جلا ساتل مهم دي، ځکه چې حلونه بشپړ توپیر لري، او یو له هغوی څخه د تنظیماتو پاڼې پرځای ستاسو د عرضه کوونکي سره خبرې ته اړتیا لري.

بهر وتل: کلاینت پوښتنه کوي، ژباړونکي نقشه کوي

بهر وتونکی تونل ستاسو د ماشین له پاکټ پیلېږي، نو هر ژباړونکی کولی شي یوه نقشه جوړه کړي او ځواب بېرته دننه پرېږدي. پروتوکول، پورټ او د بې کارۍ ټایمرونه ټاکي چې هغه نقشه به دومره اوږده پاتې شي چې ګټوره وي که نه. ډېری د کور کاروونکو روټرونه دا پرته له کوم تنظیماتو اداره کوي.

هغه ناکامۍ چې واقعاً ښکاري معمولاً د وخت پای او د پروتوکول ملاتړ پورې اړه لري، نه د روټرونو شمېر ته. هغه تونل چې د څو دقیقو چوپتیا وروسته لوېږي، هغه نقشه ده چې پای ته رسېږي، او keepalive معیاري ځواب دی. IPsec معیاري NAT-traversal غزونې لري، نو دا ادعا چې ژباړه نشي تېرېدلی، یوازې غلطه ده. که تونل هېڅ ونه جوړېږي، د توپولوژۍ تورنولو دمخه پای ټکی او اعتبارنامې وګورئ.

wg show
ping -c3 10.8.0.1

که بهر وتونکی تونل له یوې شبکې کار وکړ او له بلې نه، ودروئ. هغه پرتله د شبکو په اړه ده، نه د روټرونو شمېر.

دننه راتلل: لېږد یوازې هغه تجهیزات پوښي چې تاسو یې مالک یاست

سرور کوربه کول مخالف لوری دی: له انټرنېټ څخه نوې اړیکه راځي او باید د هر پوړ له لارې ستاسو ماشین ته ورسېږي. د داخلي روټر پورټ لېږد قاعده یوازې هغه وخت مرسته کوي چې بهرنی ژباړونکی هم هغه ټرافیک تاسو ته ورسوي. د ځایي قاعدې تکرارول د عرضه کوونکي پر تجهیزاتو کنټرول نه درکوي.

nc -vz 203.0.113.10 51820
ss -lunp 'sport = :51820'

د داخلي روټر WAN پته له هغې عامه پتې سره پرتله کړئ چې تاسو لیدلې ده، او ولیکئ چې هر ارزښت له کومه راغلی. که WAN پته شخصي وي یا په شریکه شوي حد کې وي، بهرنی پوړ هغه ژباړه کوي چې تاسو یې نه شئ تنظیمولی. له عرضه کوونکي وپوښتئ چې کومه دننه راتلونکې لاسرسی ملاتړ کوي، دمخه له دې چې ټوله ماښام د هغو قواعدو په سر تېر کړئ چې نشي پلي کېدلی. روټر لرې کول یا فایر وال په پراخه توګه بندول تشخیص نه دی، او د یوې پرانیستې پورټ لپاره بد بدل دی.

که بهرنی پوړ د عرضه کوونکي وي او لېږد نه کوي، ودروئ. بیا ملاتړ شوي ځوابونه بله لاسرسي طریقه یا ریلې ده، نه ستاسو په اړخ کې بله قاعده.

په یو وخت کې یو متغیر وازموئ

په هر ازموینه کې یو شی بدل کړئ او پایله ولیکئ، ځکه چې د دوه ګوني NAT لار له یو روټر لارې څخه ډېر متغیرونه لري. پروفایل او وسیله ثابته وساتئ، بیا له بلې لاسرسي شبکې سره پرتله کړئ. وګورئ چې خبرې اترې ناکامېږي که نه، غونډه له بې کارۍ وروسته لوېږي که نه، یا یوازې شخصي منزلونه ناکامېږي. هغه درې کتنې درې بېلابېلو پوړونو ته اشاره کوي.

journalctl -u wg-quick@wg0 -n 30 --no-pager
ip route get 10.20.30.40

یو له بل سره تړلې شخصي فرعي شبکې بېله چال ده چې هېڅ اندازه ژباړه یې نه سمولای شي. که ستاسو کورنۍ شبکه او لرې شبکه یو شان حد کاروي، د لارې شخړه ښکاري، هر څومره ژباړونکي چې ترمنځ وي. یو اړخ بیا شمېرل یوازینی پایښت لرونکی ځواب دی.

لرې دروازه هم هماغه پاملرنې ته اړتیا لري، ځکه چې د هغې لېږد قواعد او د بېرته راستنېدو لارې کېدای شي ورکه برخه وي. هغه تونل چې تصدیق تېرېږي بیا هم کېدای شي د کارونې وړ اپلیکیشن لاره ونه لري، او هغه ناکامي د کلاینت له اړخه ورته ښکاري. دا سفر هغه وخت پای ته رسېږي چې تاسو ووایاست کوم لوری ناکامېږي او کوم پوړ یې مالک دی.