د یوې لارې ثابتولو لپاره د دوو همکارانو د WireGuard ازموینه څنګه جوړه کړو

هغه WireGuard ازموینه چې ډیفالټ لار، LAN مخکښ، DNS او د اوروژنې استثنا لري نشي کولی ووایي چې له دې کوم یو خراب شو۔ دا تر دوو همکارانو، یوې جوړې پتې او یوې اجازه لرونکې خدمت راکمه کړئ، نو نیمګړتیا به د پټېدو ځای ونه لري۔ ستړې کوونکی بنسټ هغه تشخیص دی۔ لومړی هغه جوړ کړئ؛ پنځلس دقیقې اخلي او هغه ماسپښین ژغوري چې که نه وي به یې په اټکل کې تېر کړی وای۔

هغه څه چې بنسټ یې ثابتوي له هغه څخه تنګتر دي چې ډېری یې تمه لري۔ دا ثابتوي چې دوه هویتونه سره موافق دي، UDP د اورېدو پورټ ته رسېږي او یو اجازه لرونکی منزل غوښتنه لېږدوي۔ لېږد، NAT، LAN لارې او DNS بېلې ځانګړتیاوې دي چې وروسته یوه په یوه ورزیاتېږي۔

کلیدونه، پتې او یوازینی endpoint

په هر سیستم کې یوه کلیدي جوړه جوړه کړئ او یوازې عامې نیمې برخې د دوی ترمنځ ولېږدئ۔ wg genkey | tee privatekey | wg pubkey > publickey د مستند شوی یو کرښیز حکم دی، او شخصي کلید په هغه فایل کې پرېږدي چې وروسته یې ساتلی شئ۔ د تونل پتې له هغه سلسلې وټاکئ چې ستاسو په بل هیڅ ترتیب کې نه ښکاري، لکه 10.99.0.1/24 او 10.99.0.2/24۔ ولیکئ چې کومه پته د کوم ماشین ده، ځکه هر وروستی کتنه پر همدې نقشه بدلون ولاړه ده۔

شخصي کلیدونه هیڅکله سفر نه کوي۔ که ازموینې ته اړتیا وي چې یو بلې خوا ته کاپي شي، ازموینه لا دمخه غلطه شوې۔ کله چې دوه سیستمونه د NAT شاته وي، لږ تر لږه یو ته د لاسرسي وړ UDP پورټ ته اړتیا ده او بل هغه Endpoint لري چې دې ته اشاره کوي، او عامه پته او پورټ باید ستاسو په یادښتونو کې وي، نه د 51820 په اړه ستاسو په اټکلونو کې۔

د پورټ لېږد چې بله بهرنۍ پورټ نقشه کوي ښه کار کوي ترڅو چې Endpoint ورسره سمون ولري۔ دلته ناسمونې د غلطیو پرځای چوپتیا پیدا کوي، نو ښه ده چې په کاغذ باندې یې مخکې له تار څخه ډیبګ کولو وګورئ۔

هغه ډګرونه چې wg ته اړه لري او هغه چې نه

د اصلي ډګرونو ټولګه کوچنۍ ده: PrivateKey او ListenPort د Interface لاندې، PublicKey، AllowedIPs او Endpoint د Peer لاندې۔ Address او DNS wg-quick ته اړه لري نه پخپله wg ته، او دا توپیر هغه شېبه چې ورته ترتیب بل وسیلې ته ځي، چیچي۔

[Interface]
PrivateKey = <peer-a-private>
Address = 10.99.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <peer-b-public>
AllowedIPs = 10.99.0.2/32
Endpoint = 203.0.113.10:51820

AllowedIPs په یو وخت کې دوه کارونه کوي۔ دا ټاکي چې کوم منزلونه تونل ته ځي، او همکار ته اجازه ورکوي چې هغه سرچینه پتې د رسېدو پر مهال وکاروي۔ له همدې امله بلې خوا ته آینه ننوتنه باید ستاسو د تونل پته په دقیق ډول ونوموي؛ د غلط همکار لپاره /32 د لارې ستونزه لوستل کېږي او د اجازې ستونزې په څېر چلند کوي۔ د WireGuard چټک پیل که غواړئ د ډګرونو نومونه پرتله کړئ، هماغه دوه همکاره بڼه په معیاري عبارت سره ښیي۔

د آیکون پرځای لاس ورکول لوستل

د انټرفیس پورته کول د هغه څه له لارې چې مالکیت یې لري، بیا د حالت څراغ نه بلکې حالت ولولئ۔ wg show د هر همکار لپاره وروستی لاس ورکول د بایټ شمېرونکو سره چاپوي، او په تېرو څو دقیقو کې لاس ورکول یعنې کلیدونه، endpoint او UDP لار ټول کار کوي۔ هغه شمېرونکی چې یوازې په یوه لوري زیاتېږي خپله ځواب دی، او دا هغه ورته نیمګړتیا نه ده چې هیڅکله نه کېدونکی لاس ورکول دي۔

دوه نیمګړتیاوې بېلې پلټنې معنا لري۔ د لاس ورکولو بشپړ نشتوالی د کلیدونو ناسمونې، غلط Endpoint، بند شوي UDP یا هغه اوروژنې ته اشاره کوي چې پخپله لاس ورکول غورځوي۔ هغه لاس ورکول چې بریالي کېږي خو ډاټا چېرته نه ځي د AllowedIPs، هغه خدمت چې د تونل پتې ته غوږ نه نیسي، یا د کوربه اوروژنې ته اشاره کوي چې پورټ د LAN لپاره مني خو د تونل انټرفیس لپاره نه۔ دا د سیستم بېلې نیمې برخې دي، او بنسټ یې مخکې له دې چې قواعد بدل کړئ بېلوي۔

یوه اجازه لرونکې خدمت ثابتول، بیا برعکس لوری

بل همکار ته د تونل پتې ته په هغه خدمت کې غوښتنه واستوئ چې باید ځواب ووایي، او له ping څخه غوره یو څه وټاکئ۔ د ICMP ځواب نشتوالی کېدای شي د کوربه فلټر وي نه د تونل خرابي، نو چوپ ping هیڅ لوری ثابت نه کوي۔ د هغه پورټ سره TCP اړیکه چې تاسو یې خلاص پوهېږئ، یا هغه غوښتنه چې ډاټا بېرته راولي، تاسو ته د تشریح وړ ځواب درکوي۔

برعکس لوری د خپلې پایلې سره بېله ازموینه په توګه وچلوئ، ځکه دواړو لورو بېلې اوروژنې او AllowedIPs ننوتنې لري او کولای شي په خپلواکه توګه ناکام شي۔ که لاس ورکول کار وکړ او غوښتنه ونه کړي، ستونزه په تونل کې نه بلکې د ډاټا په لار کې ده: AllowedIPs، اورېدونکی خدمت یا کوربه اوروژنه۔ دا مخکې له دې چې لېږد، NAT یا DNS ورزیات کړئ سم کړئ، که نه به ماسپښین په هغه ځانګړتیا د ډیبګ کولو تېر شي چې هیڅکله مجرمه نه وه۔

بنسټ د مرجع په توګه ساتل

کار کوونکې ټوپولوژي او د پروفایل سرچینه په داسې ځای کې وساتئ چې له هغه بېرته راوستلای شئ، او له هر هغه فولډر څخه یې وبهلوئ چې له عامه خدمت سره همغږي کېږي۔ بیا په یو وخت کې یوه ځانګړتیا ورزیات کړئ، هر یو له مخې اصلي غوښتنه تکراروئ: لېږد، NAT، یوه LAN لار او بیا وروسته DNS۔ ازموینه ماتوونکې هره زیاتونه اوس پېژندل کېدای شي، ځکه بل څه ونه خوځېدل۔

هغه بنسټ چې یوازې آیکون شنه کوي تاسو ته د دې په اړه هیڅ نه دي ویلي چې بله نیمګړتیا کومه زیاتونه رامنځته کړه۔ یوازینی اجازه لرونکی لار د مرجع په توګه په کار وساتئ، او هر وروستی بدلون پر هغې اندازه کېږي۔