WireGuard یوازې هغه وخت کار کوي چې سرور لومړی واستوي: د پای نقطې پوهه

داسې ښکاري چې تونل یوازې هغه وخت کار کوي چې سرور لومړی یو څه واستوي۔ له کلاینټ څخه پیل کړئ او هیڅ نه کېږي، څو ثانیې انتظار وکړئ، بیا هڅه وکړئ او بریالي کېږي۔ معمول تشخیص خراب NAT دی، او معمول تشخیص غلط دی۔ هغه څه چې بدل شول دا دي چې یو پیر پوه شو بل چېرې اوسیږي۔

د پای نقطې پوهه، نه لاسرسی

د WireGuard پیر به لاس ورکول پیل نه کړي تر څو چې نه پوهېږي چېرته یې واستوي۔ ترتیب دا د آدرس او پورټ د پای نقطې په توګه برابروي، او روان حالت هغه پای نقطه تعقیبوي چې اوس پرې باور لري۔

wg show د هغې انځور دواړه خواوې چاپوي، او په وتنې کې د پای نقطې پرته پیر هیڅ نشي پیلولی، که څه هم د هغې عامه کیلي او اجازه شوې مختاړې څومره سمې وي۔ د هر قانون د بدلولو دمخه د کلاینټ لید له سرور سره پرتله کړئ، ځکه چې دواړه ډېری وختونه نه یوځای کېږي چې څوک څه پوهېږي۔

پیر د پای نقطې څنګه زده کوي

WireGuard په قصد سره غلی دی۔ کله چې په سمه توګه تصدیق شوې کڅوړه له داسې آدرس څخه راشي چې پیر یې تمه نه درلوده، پلي کوونکی د هغه پیر پای نقطه نوي سرچینې ته تازه کوي، او همدارنګه په لپ ټاپ کې ګرځېدل کار کوي چې شبکې بدلوي۔ هغه چلند د لوري تړلتوب تشریح کوي: که سرور لومړی واستوي او کڅوړه یې کلاینټ ته ورسېږي، کلاینټ د سرور اوسنی آدرس زده کوي او ځواب ورکولی شي۔ تر هغه پورې د استولو ځای نه لري۔ میکانیزم تصدیق شوی ګرځېدل دی نه د لومړي کارولو باور لنډلار، ځکه چې کڅوړه باید د پای نقطې له حرکت دمخه سمه وه۔

wg لپاره د وسایلو اسناد هغه تازه کول بیانوي، او که غواړئ د هغې شاوخوا ډیزاین وکړئ، یو ځل لوستل یې ارزښت لري۔

د حالت لرونکې ژباړه خپل لوری زیاتوي

چېرته چې UDP د ژباړلو دروازې څخه تېرېږي، دروازه د لومړنۍ کڅوړې لپاره چې ویني حالت جوړوي۔ RFC 4787 هغه چلند او هغه وختونه بیانوي چې بالاخره نقشه لرې کوي۔ بېکاره نقشه پای ته رسېږي، او له لرې خوا څخه راغلې داخلي کڅوړه بیا د کوربه رسېدو دمخه دروازه غورځوي۔ ټوله سهار کار کړی تونل دقیقاً د همدې دلیل له امله غرمه وروسته ځواب ورکول بندوي۔

دا دویم او خپلواک میکانیزم دی چې هماغه لوريیزه نښه تولیدوي۔ هم د پای نقطې پوهه او هم د ژباړې حالت باید سم وي، او د یو سمول بل نه سمول کېږي۔

هغه لوری تنظیم کړئ چې واقعاً یې غواړئ

د هغه کلاینټ لپاره چې باید اړیکه پیل کړي، د سرور پای نقطه د کلاینټ په پیر برخه کې کېږدئ او هلته یې پرېږدئ۔ په دې باور ولاړل چې سرور لومړی واستوي، په ټرافیک ترتیب کې د یوه تصادف ولاړل دي چې په غلي شبکه کې به بدل شي۔ ترتیب باید اراده شوې لوري اعلان کړي، نه یې کشف کړي۔

د ژباړې شاته هغه پیر لپاره چې باید لاسرسېدونکی پاتې شي، په هغه خوا کې دوامداره keepalive فعال کړئ۔ هر 25 ثانیو کې keepalive معمول پیل ارزښت دی، او هدف یې نقشه پرانیستې ساتل دي نه تونل ازمویل۔ یوه خوا وټاکئ چې هغه یې وړي، ځکه چې په دواړو خواوو فعالول پرته له دې چې پایله ښه کړي ټرافیک او د لاګ شور دوه چنده کوي۔

حالت د محرک دمخه او وروسته پرتله کړئ

هغه شیبه چې ناکامېږي دواړه لیدونه ثبت کړئ، بیا وروسته له دې چې سرور واستوي بیا۔ لومړی امر پای نقطې او د لاس ورکولو عمر ښیي۔ دویم ښیي چې آیا د پورټ لپاره ژباړنیز ننوتل شته۔ ثبت ښیي چې کوم لوری واقعاً تار ته تېر شو، او د لارې کتنه تاییدوي چې کلاینټ هغه ټرافیک بشپړ بل ځای ته نه استوي۔

wg show
conntrack -L -p udp 2>/dev/null | grep 51820
tcpdump -ni any -c 20 'udp port 51820'
ip route get 198.51.100.7

د پای نقطې ستون او ژباړنیز ننوتل یوځای ولیکئ۔ پرته له پای نقطې پیر او پرته له نقشې دروازه دوه جلا خرابۍ دي۔ یوازې یوه یې keepalive سمول کېږي۔