د مېلمنو Wi-Fi لا هم اصلي لاره کاروي: خپل جلا وتل ورکړئ

تاسو د مېلمنو شبکه جوړه کړه، د هغې لپاره لاره اضافه کړه، او مېلمانه لا هم ستاسو د عادي انټرنیټ اړیکې له لارې وځي. تونل فعال دی، اصلي LAN کار کوي، او د مېلمنو وسایل ستاسو ټاکل شوې ساحې کې پته راپور کوي، نو هیڅ شی مات نه ښکاري. معمولا هغه څه چې ورک دي لاره نه ده بلکې ټاکونکی دی: راؤټر د دې له پام کولو دمخه چې پاکټ د کوم انټرفیس څخه راغی لاره ټاکي، او که څه د مېلمنو ترافیک سره په ښکاره توګه سمون ونه کړي، هغه ترافیک اصلي ارزښت په میراث اخلي. حل یو برخه، یو د پالیسۍ قاعده او یوه د ځواب لاره ده، په همدې ترتیب.

نښه: مېلمانه لا هم له WAN څخه وځي

نښه د وتلو پته ده. د مېلمنو وسیله چې د تونل له لارې انټرنیټ ته رسیږي د تونل د برابرونکي پته راپور کوي، او هغه چې اصلي ارزښت یې په میراث اخیستی ستاسو عادي اړیکه راپور کوي. د مېلمنو وسیله او د اصلي LAN وسیله څنګ په څنګ پرتله کړئ، ځکه چې په زړه پوري حالت هغه دی چې دوی ستاسو له ترتیب شوي څخه توپیر ولري او یو له بل سره سمون وکړي.

دوهمه نښه دا ده چې کله مېلمانه براوز کوي په تونل انټرفیس کې هیڅ ترافیک نشته. که شمیرونکي ونه ځي، پالیسي هیڅکله نه ده تطبیق شوې، او د تونل په خپله سمول مرسته نه شي کولی.

ګام 1: ریښتینې برخه، نه یوازې نوم

د SSID نوم جلاوالی نه جوړوي. وګورئ چې د مېلمنو شبکه په خپل انټرفیس، VLAN یا پل کې پای ته رسي، او د پتو ساحه له باوري LAN څخه توپیر لري. په ډیرو مصرف کوونکو د لاسرسي نقطو کې، د مېلمنو SSID د نورو ټولو سره په ورته برخه کې پل کیږي، کوم چې د دې سمون پرته د دې کار پاتې برخه ناممکنه کوي.

بیا د مېلمنو ساحه او د هغې DHCP سرور تایید کړئ، او د حل کوونکي تنظیمات د ټول راؤټر پرځای له همدې برخې سره وصل وساتئ. د مېلمنو subnet چې یوازې د فایر وال قاعدې په تبصره کې شتون لري برخه نه ده، او راؤټر به د سمون لپاره هیڅ انټرفیس ونه لري.

د VPN د تنظیم اسانتیا لپاره مېلمانه په اصلي LAN کې مه پل کوئ. دا ستاسو غوښتل شوی جلاوالی د راؤټینګ لنډې لارې سره بدلوي، او دا هغه معمول دلیل دی چې د مېلمنو شبکه پرینټر او NAS ته لاسرسی مومي.

ګام 2: تونل د سرچینې له مخې وټاکئ

د راؤټینګ جدولونه د منزل له مخې ټاکل کیږي، نو هغه قاعده چې وایي «0.0.0.0/0 تونل ته واستوه» پر هر چا تطبیق کیږي. د پالیسۍ راؤټینګ دوهمه اندازه اضافه کوي: جدول د سرچینې پتې له مخې وټاکئ. په Linux باندې ولاړ راؤټر کې، دا یوه اضافي قاعده او یو ځانګړی جدول دی، او ترتیب مهم دی ځکه چې لومړنۍ سمون کونکې قاعده ګټي:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

هغه وروستۍ کمانډ پوښتنې ته مستقیم ځواب ورکوي: دا سرچینه به د دې منزل لپاره کوم انټرفیس وکاروي. د بدلون دمخه او وروسته یې چل کړئ، او پرته له براوزر لمس کولو به پوه شئ چې پالیسي نافذه شوه که نه.

ډیری د راؤټر فرم ویرونه همدا خبره د انټرفیس قاعدې یا د سرچینې پر بنسټ د ګیټ وے د ټاکنې په توګه بیانوي. ستاسو پلیټ فارم هر نحو وکاروي، اصل یو شان دی: د ننوتلو انټرفیس یا د سرچینې مختلط سره سمون وکړئ، بیا یوازې د هماغه سمون لپاره لاره بېله کړئ. د منزل له مخې سمون کوونکې قاعده مېلمه له کورني وسیلې څخه نه شي توپیر کولی.

ګام 3: د ځواب لاره او ژباړه

هغه پاکټ چې د تونل له لارې وځي باید بیرته راشي. یا د تونل ملګری د مېلمنو مخکښې ته د بیرته راتلو لاره پیژني، یا راؤټر د مېلمنو سرچینه د تونل پتې ته ژباړي. یوه غوره کړئ او ولیکئ، ځکه چې د ناکامۍ بڼې توپیر لري: د بیرته راتلو لاره نه وي نو اړیکه جوړیږي او هیڅکله ځواب نه ورکوي، پداسې حال کې چې ژباړه نه وي اکثرا هیڅ هم نه جوړیږي.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

که ژباړه غوره کړئ، په یاد ولرئ چې ملګری اوس د هر مېلمه لپاره یوه پته ویني، نو د لیرې پای په هر کلاینټ کې هره پالیسي ورکیږي. که پتې وساتئ، دواړه پایونو ته د خپل راؤټینګ او پالیسۍ په مېلمنو مخکښې اړتیا ده، کوم چې ډیر کار او ډیر وړاندوین وړ دی.

IPv6 خپله قاعده غواړي. د IPv4 لپاره لیکل شوې پالیسي بله کورنۍ نه پوښي، او د مېلمنو وسیله چې فعال IPv6 لري په خوښۍ به یې وکاروي پداسې حال کې چې ستاسو په احتیاط راؤټ شوې IPv4 لاره بې کاره پاتې کیږي. دواړه کورنۍ راؤټ کړئ یا په مېلمنو برخه کې IPv6 غیر فعال کړئ، مګر مه فرض کوئ چې لیکل شوې یوځای قاعده هغه څه پوښي چې وسیله واقعا کوي. د هغه کلاینټ سره ازموینه وکړئ چې دواړه کورنۍ فعالې لري، ځکه چې دا هغه حالت دی چې ډیزاین باید یې زغملی شي. لپټاپ چې IPv6 ته ترجیح ورکوي یوازې د IPv4 ازموینه کې سم ښکاري او په ریښتینې کې تویږي.

جلاوالی وازموئ، نه یوازې براوزینګ

براوزینګ ثابتوي چې وتل بدل شو. دا ثابتوي نه چې برخه جلا ده، او جلاوالی هغه دلیل دی چې د مېلمنو شبکه شتون لري. د مېلمنو وسیلې څخه، د راؤټر د ادارې انټرفیس، د باوري LAN کوربه او هغه خدمت ته د رسیدو هڅه وکړئ چې باید رد شي؛ درې واړه باید ناکام شي، او ناکامي باید د پالیسۍ پریکړه وي نه د وخت ختمیدنه چې هیڅوک یې تشریح نه شي کولی.

بیا د اصلي LAN وسیله وازموئ او تایید کړئ چې د هغې وتل نه دي بدل شوي. دا هغه رجعت دی چې دا ډیزاین ډیری وخت رامنځته کوي: پراخه قاعده چې د مېلمنو لپاره وه، پر هر انټرفیس تطبیق شوه ځکه چې سمون د منزل پر بنسټ لیکل شوی و.

په پای کې، پریکړه وکړئ چې کله تونل بند وي څه کیږي. مېلمانه یا انټرنیټ نه ترلاسه کوي یا هغه لارې ته بیرته ځي چې تاسو یې منئ، او دې ته پرېکړه نه کول یو ځل بیا عادي اړیکې ته غلی بیرته راتګ مانا لري، کوم چې هغه توییدنه ده چې د مېلمنو پالیسي یې د مخنیوي هڅه کوله. د انټرنیټ ترافیک د راؤټینګ ترکیب د pfSense باندې ولاړ راؤټر لپاره هماغه د لارې ټاکنه تیریږي.

د راؤټر څخه رامنځته شوی DNS هغه قضیه ده چې خلک په پای کې حیرانوي. که مېلمانه راؤټر د خپل حل کوونکي په توګه وکاروي، د راؤټر خپلې پوښتنې د مېلمنو قاعدې پرځای د راؤټر لارې تعقیبوي، نو لټونونه کولی شي د عادي اړیکې له لارې ووځي پداسې حال کې چې د اپلیکیشن ترافیک نه وځي. برخه، حل کوونکی او د ناکامۍ پالیسي په یوه یادښت کې وساتئ، او بل کس به پرته له دې چې ډیزاین بیا راباسي درې واړه وګوري.