د WireGuard بشپړ تونل: AllowedIPs 0.0.0.0/0 بس نه دی

په همکار کې د 0.0.0.0/0, ::/0 ایښودل هغه ګام دی چې هرڅوک یې یادوي، او یوازې دا ټاکي چې همکار ته کوم ترافیک د تګ اجازه لري۔ دا مخکښې هیڅ لاره نه جوړوي، بل لور ته هیڅ نه لېږدوي او د هر اپلیکیشن حل کوونکی سم هغه ځای پرېږدي چې و۔ بشپړ تونل باید واقعاً بشپړ وي، نو څلور جلا شیان باید په یو وخت سم وي، او غوره ده چې دوی لاندې ترتیب کې وڅیړل شي، ځکه وروستۍ څیړنه نشي کولای پخوانۍ وژغوري۔ لاندې هر څیړنه یو حقیقت دی چې له ماشین څخه لوستل کېدای شي، نه هغه تنظیم چې د تطبیق هیلې یې لرې۔

د همکار مخکښه څه ټاکي او څه نه

AllowedIPs په یو وخت ټاکونکی او اجازه ورکوونکی دی۔ دا ځایي لوري ته وایي چې کوم مقصدونه دې همکار ته ولېږل شي، او ترلاسه کوونکي لوري ته وایي چې دا همکار کوم سرچینې پتې ښکاره کولای شي۔ همدا ټول کار دی۔ په دې توضیح کې هیڅ شی پر هوسټ لاره نه جوړوي، په لرې لوري کې لېږد نه فعالوي او د نومونو حل ته نه رسېږي۔

له همدې امله تنظیم بشپړ ښکاري او د ووېشل شوي تونل په څېر چلند کوي۔ مخکښه وایي چې همکار به هر څه ومني؛ د هوسټ د لارو جدول ټاکي چې هلته واقعاً څه رسېږي، او ګیټ وې ټاکي چې څه بهر وځي که نه۔ له دې دریو پرېکړو هیڅ یوه د همکار په برخه کې نه ژوند کوي۔

د کاروونکي لارښوونه، نه یوازې د همکارانو لیست

لکه wg-quick مدیران ستاسو په استازیتوب د هوسټ د لارو جدول پروګراموي، له همدې امله دوه یو شان تنظیمي فایلونه د دې پر بنسټ چې انټرفېس څنګه پورته شو، بېل چلند کوي۔ لږترلږه پروفایل دومره لنډ دی چې په یو ځل لوستل شي:

[Interface]
Address = 10.8.0.2/32
DNS = 10.8.0.1

[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = vpn.example.net:51820

کار دوه جزئیات وړي۔ Address ساحه یوازې د یو هوسټ مخکښه ده، نه هغه سبنیټ چې کاروونکی یې خپل ګڼي، او مدیر هغه دی چې تلوالې AllowedIPs په واقعي تلوالې لاره بدلوي۔ هماغه فایل په ip link او wg setconf سره پورته کړئ او هیڅ لاره نه ښکاري، چې د مات شوي تونل په څېر ښکاري خو واقعاً روغ تونل دی چې د لارښوونې ګام پرې ایښودل شوی۔ د wg-quick لارښود لارښوونه او هغه Table چلند مستند کوي چې دا مدیران یې اضافه کوي۔

فایل نه، پایله ولولئ: ip route get 1.1.1.1 باید د تونل انټرفېس نوم واخلي، او wg show باید د خوځېدونکي لېږد شمېرونکي سره وروستی لاس ورکول راپور کړي۔ پرته له لارې لاس ورکول مانا دا ده چې مدیر هیڅکله ونه چلېد، او د پروفایل بیا سمول به یې سم نه کړي۔ انټرفېس هغسې پیل کړئ لکه کاروونکی به یې پیلوي، که نه ازموینه د ځای پرځای کولو پر ځای ستاسو شل اندازه کوي۔

د پای ټکي تونل څخه بهر ساتل

بشپړ تونل هر مقصد نیسي، هغه هم چې د شتون لپاره باید ورسره خبرې وشي۔ مدیران دا د اصلي ګیټ وې له لارې د پای ټکي لپاره د هوسټ لاره اضافه کولو سره سمبالوي، له همدې امله سم تنظیم تقریباً تل یو قصداً استثنا لري۔ د تنظیم نیمه برخه د مدیر سره او بله نیمه لاسي تطبیقول د دې استثنا د ورکېدو عادي لار ده۔

که پای ټکی د هوسټ نوم وي چې څو پتو ته یا هغه کورنۍ ته حل کېږي چې تاسو یې نه وړئ، استثنا بد زړېږي او تونل کېدای شي د عادي ښکارېدونکي بیا نښلولو وروسته ناکام شي۔ پای ټکی هغه پتې ته پین کړئ چې کنټرول یې کوئ، یا ډاډ ترلاسه کړئ چې مدیر یې بیا ارزوي، او له هرې شبکې بدلون وروسته د هوسټ لاره بیا ولولئ۔

همدا میکانیزم تشریح کوي چې ولې بشپړ تونل او کاپټیو پورټل جنګېږي۔ پورټل هیلې لري چې هغه ترافیک ونیسي چې ستاسو تونل یې اوس نیسي، نو په هوټل او هوایي ډګر شبکو کې تونل د پورټل ننوتلو وروسته پورته کوئ، هیڅکله مخکې نه۔

په ګیټ وې کې لېږد او د بېرته تګ لاره

په ګیټ وې کې د هغې کورنۍ لپاره لېږد فعال کړئ چې وړئ، کله چې ژباړه کوئ forward زنځیر دواړو خواوو ته اجازه ورکړئ، او د سرچینې ځانګړي پلټنې سره د بېرته تګ لاره تایید کړئ۔ له دې هیڅ هم له بریالي لاس ورکولو نه راځي، ځکه لاس ورکول یوازې دا ثابتوي چې دوه همکاران کولای شي UDP تبادله کړي۔ د دې په اړه چې له کپسول څخه ایستل شوي پاکټ سره وروسته څه کېږي هیڅ نه وایي۔

sysctl net.ipv4.ip_forward net.ipv6.conf.all.forwarding
ip route get 1.1.1.1 from 10.8.0.2

پلټنه پر ګیټ وې نه پر کاروونکي چلېږي، که نه تاسو بله د لارو جدول لولئ۔ که ناسم انټرفېس ونوموي، یا راپور کړي چې لاره نشته، نو د کاروونکي پلوي هیڅ بدلون به د انټرنیټ وتل ونه جوړوي۔ کله چې ګیټ وې د وتلو په لاره کې د کاروونکو پتې ژباړي، ځواب پر هماغه ژباړې حالت تکیه کوي، نو قاعده باید د بهیر دواړو خواوو لپاره وي، نه یوازې د وتلو خوا لپاره۔

DNS او د ناکامۍ حالت، جلا ازمویل شوي

پروتوکول پخپله د هیچا اپلیکیشن حل کوونکی نه تنظیموي۔ wg-quick د وېش د حل کوونکي ادغام له لارې DNS کرښه تطبیقوي، هغه کانټینران او براوزران چې خپل سټیک لري کولای شي له پامه وغورځوي یې، او له همدې امله نوم کېدای شي ناکام شي په داسې حال کې چې تونل پاکټونه بشپړ وړي۔ د پتې پر ځای د هوسټ نوم سره ازموینه وکړئ، او د دې پر ځای چې فکر وکړئ د پروفایل سرور ځواب ورکړی، ولیکئ چې کوم سرور ځواب ورکړ۔

د پتو کورنۍ جلا ځواب لرونکې جلا ازموینه ده۔ v4 تلوالې د دې په اړه هیڅ نه وایي چې د یو اپلیکیشن v6 نښلون به څه وکړي، او هغه تونل چې دوهمه کورنۍ په چوپتیا تویوي له هغه څخه بدتر دی چې په لوړ غږ ناکام شي۔ د هرې کورنۍ له لارې نوم وپوښتئ، هغه انټرفېس ولولئ چې هر غوښتنې کارولی، او د ژباړې شمېرونکي مخکې او وروسته وڅیړئ، ځکه هغه قاعده چې له هیچا سره نه ځي د ورکې قاعدې په څېر ښکاري۔

په پای کې، هغه حالت وازموئ چې کله تونل ودروي یې غواړئ۔ بشپړ تونل باید د هغه ترافیک لپاره چې ادعا یې کوي بند ناکام شي: که انټرفېس ولویږي او اپلیکیشنونه د فزیکي اړیکې له لارې په چوپتیا دوام وکړي، ډیزاین د اضافي ګامونو سره ووېشل شوی تونل دی۔ د ناکامۍ پلان شوی چلند ولیکئ، په قصد یې وڅیړئ، او د څلورو ځوابونو په ثبتولو پای ته ورسئ — کوم مدیر انټرفېس پورته کوي، کومه لاره تلوالې وړي، په ګیټ وې کې څوک لېږد او ژباړه کوي، او کوم حل کوونکی ځواب ورکوي۔