د کور WireGuard تونل ته له LAN څخه د بیرته راستنیدو لار ته اړتیا ده

کور ته لاسرسی یوه شخصي خدمت دی، نه دوهم د انټرنېټ وتل. WireGuard د روټر شاته د Linux ماشین په سر پای ته رسېږي، روټر خپل اوسنی کار ساتي، او لپ ټاپ د تونل له لارې یوازې د کور پریفیکس لېږي. کومه وسیله مخته وړي او کومه پای ته رسوي، هغه پرېکړه ده چې هر راتلونکی قاعده ترې زایېږي. که دا ویش غلط وي، هغه NAT به سمول کوئ چې د زیاتولو اراده مو نه درلوده.

پرېکړه وکړئ چې څوک مخته وړي او څوک پای ته رسوي

عامه ننوتل د روټر دي: هغه د UDP پیکیټ مني او Linux کوربه ته یې ورکوي. هغه کوربه د WireGuard اورېدونکی او LAN ته د لېږلو پرېکړه لري. په عمل کې نقشه اخیستنه UDP 51820 192.168.50.10 ته لېږي، او د اپلیکیشن خپل پورټ بند پاتې کېږي. د رولونو جلا ساتل فایر وال لنډ ساتي.

د انټرفیس جوړولو دمخه د پتې پلان ولیکئ. روټر 192.168.50.1، ګیټ وے 192.168.50.10، خدمت 192.168.50.20، تونل 10.77.0.0/24 د ګیټ وے .1 او لپ ټاپ .2 سره. د تونل حد باید د هغه شبکې سره یوځای نه شي چې لپ ټاپ ورته رسېږي، که نه د پاتې کېدلو ځایونه مبهم کېږي. د اپرېټر درجې NAT یا پورتنۍ روټر کولای شي راتلونکی لاسرسی بند کړي، او هیڅ سیمه ییز پورټ لیږد هغه نه سمېږي.

کیلي تبادله کړئ، بیا د AllowedIPs اندازه وټاکئ

د هرې پای لپاره جلا کیلي جوړه جوړه کړئ او یوازې عامه کیلي د تصدیق شوې لارې له لارې ولېږئ. د ګیټ وے peer ننوتنه یوازې د لپ ټاپ د تونل سرچینې ته اجازه ورکوي، ځکه د کور LAN د لپ ټاپ شاته نه، د ګیټ وے شاته دی. LAN په هغه ننوتنه کې ایښودل هغه ټوپولوژي بیانوي چې تاسو نه يې جوړه کړې.

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs د کور پریفیکس او د ګیټ وے د تونل پته ده، هیڅکله 0.0.0.0/0 نه، نو عادي لټون خپله سیمه ییزه لار ساتي. یو کانفیګوریشن مالک وساتئ، او هغه انټرفیس هیڅکله دوهم شبکې مدیر ته مه نښلوئ.

د بیرته راستنیدو لار هغه برخه ده چې خلک یې پرېږدي

دا ډیزاین د لپ ټاپ 10.77.0.2 سرچینه ساتي پرته له دې چې د ګیټ وے په توګه یې پټه کړي، نو د کور وسایل باید پوه شي چې څنګه ځواب ورکړي. د کور روټر کې د 10.77.0.0/24 لپاره ثابته لار اضافه کړئ چې بله ټوپ 192.168.50.10 وي، او ولولئ چې wg-quick له AllowedIPs څخه څه اوباسي، د هغه حوالې کې. پرته له دې لارې، بشپړ شوی لاس ورکول د اپلیکیشن هغو ځوابونو سره یوځای وي چې هیڅکله نه رسیږي.

که روټر نشي کولای دا لار وړي، مستند شوی د بیرته راستنیدو ډیزاین وټاکئ. په خاموشۍ NAT اضافه کول د هغه سرچینې ماډل بدلوي چې همدا اوس مو ولیکه.

یو خدمت ته اجازه ورکړئ، نه سبنیټ ته

د ګیټ وے په سر IPv4 لېږد فعال کړئ او د فایر وال درې دندې جلا وساتئ: WireGuard اورېدونکي ته د تېرېدو اجازه ورکړئ، د لپ ټاپ سرچینه یوازې 192.168.50.20 ته ولېږئ، او د کور شبکې پاتې برخه هغه peer لپاره بنده وساتئ. قواعد په هغه فایر وال مدیر کې یوځای کړئ چې دمخه کارول کېږي، هغه تش مه کوئ. د ټول کور پریفیکس لپاره لار د دننه هر وسیله کارولو اجازه نه ده.

د اپلیکیشن خپله تصدیق او د کوربه فایر وال جلا دروازه ده. د هغه خدمت نوم واخله چې قاعده ټولګه یې اجازه ورکوي، ترڅو راتلونکی کتونکی هغه د پلان شوې دندې سره پرتله کړي.

له بېره ازموینه وکړئ، بیا په پاکه توګه بېرته واخلئ

پروفایلونه د دوی د مالک له لارې پورته کړئ، لاس ورکول تایید کړئ، بیا پلان شوی اپلیکیشن د تصویب شوې بېرونې شبکې څخه وچلوئ او ځواب وګورئ. هغه کورني خدمت هڅه وکړئ چې باید رد پاتې شي، ځکه اجازه ورکوونکی قاعده تر هغه پټ وي چې یو څه یې وکاروي. د HTTPS لپاره د سند پر نوم وکاروئ او تصدیق پرېږدئ چې وګرځي؛ خام پته ټایپ کول او له خبرداری تېرېدل د لارې په اړه هیڅ نه ثابتوي. PersistentKeepalive اختیاري دی: د بیکارۍ وروسته NAT ته تړل شوي peer سره مرسته کوي، خو دا نه ورکه لار ده او نه د اجازې سمون.

متحرک عامه پته د DNS تازه کولو ته اړتیا لري، او لپ ټاپ باید د بدلون وروسته خپل پای ټکی بیا حل کړي؛ نوي DNS ریکارډونه کانفیګر شوی پای ټکی نه خوځوي. لپ ټاپ له ساتل شوې او فعالې کانفیګوریشن څخه د هغه peer په لرې کولو وباسئ؛ یوازې د لپ ټاپ پروفایل ړنګول د ګیټ وے اجازه نه باطلوي.