بیړنی قطع یا LAN ته لاسرسی؟ د WireGuard لپاره دوه ځوابونه

لاس نیول بشپړیږي، براوزینګ کار کوي، او پرنټر، NAS او سیمه‌ایز SSH کوربه ورک شی. په Windows پیرودونکي کې دا معمولاً د لارښوونې نیمګړتیا نه ده: هغه سیال چې اجازه شوي مختګونه یې لفظي تګلاره لري «له تونل بهر ترافیک بندول» فعالوي، او هغه انتخاب د اورې دېوال د قاعدو په توګه پلي کیږي چې له بل هر انټرفیس څخه وتونکي بنډل غورځوي. د لارو جدول لاهم سیمه‌ایز فرعي شبکه د مستقیمې اړیکې په توګه ښیي، ځکه نښه درواغ ښکاري. د دې په اړه څه کول درې شرطونه ټاکي، او یوازې یو یې د لارښوونې په اړه دی.

دوه نیمګړتیاوې یوه نښه لري

لومړنۍ نیمګړتیا د پیرودونکي fail-closed حالت دی، او نښه یې دا ده چې له تونل بهر هر څه ودریږي خو تونل پخپله په بشپړه توګه کار کوي. دوهمه ریښتینې رسېدونکې ستونزه ده: ورکه لار، د پیرودونکي شاته فرعي شبکې لپاره په سرور کې ورکه ننوتنه، یا دوه شبکې چې یوه پته‌لړه شریکوي. دواړه هغه ماشین جوړوي چې براوز کولای شي او چاپ نشي کولای، او د دوی سمونونه مخالف دي، نو تشخیص باید له ترتیباتو مخکې راشي.

توپیر کوونکې کتنه دا ده چې ایا سیمه‌ایزه فرعي شبکه لاهم د لارو په جدول کې ده، په داسې حال کې چې هغې ته ترافیک غورځول کیږي.

درې شرطونه ځواب ټاکي

لومړی، ایا دا ماشین fail-closed ته اړتیا لري؟ که ځواب هو وي، لوېدونکی تونل باید ترافیک ودروي، د دې پرځای چې هغه فزیکي انټرفیس ته بېرته ولاړ شي، او دا غوښتنه له سیمه‌ایزې اسانتیا لوړه ده. دوهم، ایا سیمه‌ایز وسایل باید د تونل پر مهال رسېدونکي پاتې شي؟ چاپ، شبکه‌ایز زېرمه او سیمه‌ایزې اداره کنسولې معمول لاملونه دي، او دا قانوني غوښتنې دي، نه هغه استثنائات چې بخښنه ورته وغوښتل شي. دریم، ایا پروفایل تګلاره د لفظي 0.0.0.0/0 په توګه څرګندوي؟ همدا تفصیل د پیرودونکي قاعدې فعالوي، او د سمون وړ دی.

له پروفایل څخه مخکې دې درېیو ته لیکلی ځواب ورکړئ، ځکه هر ځواب بل ترتیب ته اشاره کوي.

fail-closed وټاکئ او له LAN څخه تېر شئ

که بهېدنه له سیمه‌ایزې رسېدنې مهمه وي، لفظي تګلاره وساتئ او «له تونل بهر ترافیک بندول» پرانیستی پرېږدئ. دا یو سم دریځ دی: ماشین د هغه وسیلې په توګه ګڼل کیږي چې که په تونل کې وي یا آفلاین، او سیمه‌ایزو خدمتونو ته د بل وسیله یا د تونل له لارې رسېدل کیږي که سرور ورته لار ښیي. لګښت ریښتینی دی او باید د ځای پرځای کولو یادښتونو کې ذکر شي، نه دا چې چاپ ته اړتیا لرونکی کس یې پخپله ومومي.

دا د هغو ماشینونو لپاره سم انتخاب دی چې هغه کار کوي چې باید د تونل په لوېدو کې د کافي شبکې په سر کې را نه ښکاره شي. دا د کورنیو لپ‌ټاپونو لپاره بد دیوال دی چې سکنر هم غواړي.

LAN ته لاسرسی وټاکئ او تګلاره بل ډول بیان کړئ

که سیمه‌ایز وسایل باید رسېدونکي پاتې شي، هماغه پوښښ پرته له لفظي تګلارې مخکښې بیان کړئ. دوه نیمګړې مخکښې هره IPv4 پته پوښي، مساوي جوړه IPv6 پوښي، او پیرودونکی نور بندوونکې قاعدې نه ننباسي ځکه هغه تار چې ګوري یې نشته.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

د هغې نښې لرې کول پیرودونکی اړ کوي چې هماغه دوه جوړې په پروفایل کې ولیکي، نو جوړ شوی فایل د پورتنۍ برخې سره پرتله کول د میکانېزم اټکل کولو پرځای د هغه د تایید چټکه لار ده. دوه پایلې ورپسې راځي. پوښښ یو شان دی، نو په تونل کې بل څه نه بدلیږي. ساتنه یو شان نه ده: کله چې قاعدې لاړې شي، لوېدونکی تونل ماشین د هغه فزیکي انټرفیس سره پرېږدي، او همدا هغه څه وو چې fail-closed یې مخه نیوله.

پاتې دوه شکمن هم وګورئ

کله چې د اورې دېوال پوښتنه حل شي، تایید کړئ چې سیمه‌ایزه فرعي شبکه واقعاً لارښوونه کیږي او لرې سر د دې پیرودونکي شاته هر څه پېژني. هغه سرور چې باید د پیرودونکي شاته LAN ته ورسیږي، په هب کې د پیرودونکي اجازه‌شوې لیست کې هغه مخکښه غواړي؛ که یې پرېږدئ، هب نشي کولای هغو پتو لپاره سیال وټاکي، او هیڅ پیرودونکي ترتیبات هغه نه جوړوي.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

د شبکې کټګوري له هغې ډېره مهمه ده چې خلک یې تمه لري: نوی جوړ شوی تونل اډاپټر که عامه وګڼل شي، هغه قاعدې بدلوي چې پر هغه پلي کیږي، او پایله کېدای شي د لرې سر په اورې دېوال بندښت ښکاره شي. د لارو چاپ ښیي چې ایا تګلاره په بشپړه توګه شته، کوم چې د پالیسۍ ستونزه له ورکې لارې جلا کوي.

بیا په یوه ناسته کې درې شیان وآزمایئ: انټرنیټ، د پتې له مخې یو سیمه‌ایز کوربه، او د تونل له لارې یو کوربه. لاس نیول یوازې دا ثابتوي چې کیلي سره سمون لري، نو درې واړه ازموینې دي چې پالیسي ښیي. که سیمه‌ایز کوربه د انتخاب له لرې کولو وروسته هم انکار وکړي، پاتې مشکوک لار، د لرې سر اجازه‌شوې لیست او دوه‌ځله فرعي شبکه دي، په همدې ترتیب.