د VPN همکار نورو انټرفیسونو ته پنګ کوي ځکه چې دوی محلي دي

یو WireGuard کارن نښلوي او په بشپړ ډول بېل انټرفیس کې یوې پتې ته پنګ کوي، او ځواب راځي۔ ثبتونه ښیي چې غوښتنه یوازې په تونل کې ده۔ هېڅ شی نه دی خراب، او هغه د لېږد تنظیم چې په احتیاط سره بند شوی و، له دې سره هېڅ تړاو نه لري۔ دا د دوو لارو پرتله ده چې په یوه ډیاګرام کې ورته ښکاري او په کرنل کې بشپړ توپیر لري۔

یوه لار د بل چا لپاره پاکټونه لېږدوي؛ بله یې کوربه ته رسوي۔

کوربه ته استول شوی پاکټ په کوربه کې پاتې کېږي

لرې کارن کوربه لرونکې پتې ته IP پاکټ لېږي۔ لارښوونه د دې پاکټ په اړه یوه پوښتنه کوي: ایا دا منزل محلي دی؟ هر هغه پته چې کوربه لري د محلي لارښوونې جدول کې ښکاري، او هغه جدول د اصلي جدول څخه مخکې کتل کېږي، نو پاکټ د بل انټرفیس له لارې د وتلو پر ځای د کوربه خپل سټیک ته ځي۔ ځواب په محلي ډول جوړېږي، او د تونل له لارې بېرته راځي ځکه چې پوښتنه له هماغه ځایه راغلې وه۔

دا ټول میکانیزم دی۔ هېڅ لېږد نه کېږي، د انټرفیس د حالت هېڅ بدلون نه ښکېل دی، او د بحث لاندې پته دې ته اړ نه ده چې له بلې هرې ځای څخه د لاسرسي وړ وي۔

ولې ip_forward نه پلي کېږي

لېږد هغه پاکټونه کنټرولوي چې باید له هغه انټرفیس څخه ووځي چې پر هغه راغلي وو، بل انټرفیس۔ کوربه ته پنګ هېڅکله هغه لار نه نیسي: پاکټ په محلي ډول مصرفېږي او ځواب په محلي ډول جوړېږي۔ له همدې امله net.ipv4.ip_forward=0 ټاکل دلته هېڅ نه بدلوي، او د لېږد زنځیر کې قاعده هغه ترافیک هېڅکله نه ویني۔ سم کنټرول پر ننوتلو لاره دی، چې د راتلوونکي انټرفیس یا سرچینې له مخې محدود دی۔

له همدې امله د لېږد بندول او دا انګېرل چې کوربه جلا دی، د امنیت درواغجن احساس رامنځته کوي۔

هغه محلي جدول ولولئ چې پریکړه یې وکړه

ip rule show معمولاً د صفر لومړیتوب یوه قاعده راپورته کوي چې ټولې پلټنې لومړی محلي جدول ته لېږي، او ip route show table local د کوربه خپلې پتې په محلي حد سره لیستوي۔ هغه جدول هغه پتې هم لري چې په اداري ډول بند شوي خو اوس هم تنظیم شوي انټرفیسونه دي۔ په ثابت ډول ټاکل شوې IPv4 پتې معمولاً د اړیکې له پرې کېدو وروسته هم پاتې کېږي، او همدا لامل دی چې بند پولې ته پنګ لا هم بریالی کېدای شي او آپریټر حیرانوي۔

IPv6 په همدې ټکي کې توپیر لري۔ د هغې پتې معمولاً د اړیکې پرې کېدو پر مهال بېرته اخیستل کېږي، پرته له دې چې keep_addr_on_down ټاکل شوی وي۔ کورنۍ پرتله کړئ، د دې پر ځای چې انګېرئ یوه قاعده دواړه پوښي۔

همکار په رښتیا څه ته رسېږي

په یوه برخه کې د روټر خپلې پتې څخه راغلی ځواب د هغې برخې شاته ماشینونو په اړه هېڅ نه وایي۔ همکار نشي کولی د بل انټرفیس شاته کوربه ته دې لارې ورسېږي؛ یوازې هغو پتو ته رسېږي چې روټر پخپله یې لري۔ په جلا LAN کوربه کې د یو خدمت ازموینه، د روټر پتې ته د پنګ پر ځای، هماغه شی دی چې معلوموي لېږد په اصل کې اجازه لري که نه۔

همکار محدودول هغو خدمتونو ته چې د تونل پتې سره تړلي دي، د ننوتلو پالیسي پوښتنه ده۔ غوښتل شوی خدمت پر تونل انټرفیس اجازه کړئ او هغه سرچینې محدود کړئ چې کولی شي یې وکاروي، ځکه پاکټ په رښتیا هم هلته رسېږي۔

هغه پتې هم وګورئ چې غوښتل مو تقاعد کړئ۔ له یوه انټرفیس څخه پته لرې کول د زړې پتې پر سر د فایر وال قواعدو د کتلو څخه ډېر باوري دي۔