WireGuard PersistentKeepalive: NAT نقشه اخیستنه ژوندې وساتئ
که برعکس اړیکه یوازې د پیر له خوا د ترافیک لیږلو سمدلاسه وروسته کار وکړي، نقشه اخیستنه پای ته رسېږي۔ keepalive د روټر شاته تنظیم کړئ او بیا ریښتینې موده ولولئ۔
د کور بکس تونل پرانیزي او پرته له کومې ستونزې کلاوډ سرور ته رسېږي۔ کلاوډ سرور کولای شي د کور بکس له وروستي یو څه لیږلو وروسته یوه یا دوه دقیقې کور اپلیکیشن ته ورسیږي، او بیا ودرېږي۔ د WireGuard په لاګ کې هېڅ نه ښکاري، د لاس ورکولو هېڅ تېروتنه نه راپور کېږي، او د تونل بیا پیل کول یې لږ وخت لپاره سمولای شي۔ دا نمونه د پای ته رسېدونکې نقشې اخیستنې ده، نه مات شوی تونل، او لاندې لارښود د هر څه بدلولو مخکې دا تاییدوي۔
تایید کړئ چې نمونه د بې کارۍ پر مهال پای ته رسېدل دي
توپیر کوونکی تفصیل وخت دی۔ که چېرې برعکس اړیکه د کور پیر له خوا د ترافیک لیږلو سمدلاسه وروسته کار وکړي او د یوې آرامې مودې وروسته ناکامه شي، لاره سمه ده او منځنی حالت نه۔ که چېرې دا هېڅکله کار نه وي کړی، حتی د ترافیک سمدلاسه وروسته هم، دا غلطه تشخیص دی۔
sudo wg show wg0 latest-handshakes
sudo wg show wg0 endpoints
sudo wg show wg0 transferلومړني دوه د کور پیر له خوا د یو څه لیږلو سمدلاسه وروسته چل کړئ، پنځه دقیقې انتظار وکړئ او بیا یې چل کړئ۔ د لاس ورکولو وخت ټامپ چې د مهالوېش له مخې پرته له نوي پای ټکي نوی کېږي، تاسو ته وایي چې تونل ژوندی دی۔ څه چې بدل شول هغه د بهر څخه د نه غوښتل شوو پاکټونو راتلو توان دی، کوم چې د تونل نه، د لارې ځانګړنه ده۔
بیا یوه برعکس هڅه وکړئ او د لیږد شمېرونکي وګورئ۔ که کلاوډ اړخ بایټونه لیږي او کور اړخ هېڅ نه ترلاسه کوي، پاکټ کلاوډ پرېښود او په لار کې په حالت ساتونکي وسیله کې ومړ۔ دا هغه لاسلیک دی چې تاسو یې لټوئ۔ که دواړه شمېرونکي حرکت وکړي، تونل پاکټ رسولی او شکمن اپلیکیشن دی۔
keepalive د روټر شاته پیر ته کیږدئ
دايمي keepalive د مهالوېش له مخې کوچنی تصدیق شوی پاکټ لیږلو سره د NAT نقشه اخیستنه او هر ډول فایرول حالت ژوندی ساتي۔ ترتیبات د روټر شاته ماشین ته، د لیرې پیر لپاره د هغې ننوتلو کې اړه لري، ځکه چې هماغه اړخ خپل وتونکي پاکټ سره حالت جوړوي۔
[Peer]
PublicKey = <cloud peer public key>
AllowedIPs = 10.71.0.1/32
PersistentKeepalive = 25دا د موجوده پیر برخې سره یوځای کړئ۔ د هماغه عامه کیلي سره دوهم بلاک اضافه کول د اختیارونو اضافه کولو سمه لاره نه ده، او wg-quick به یې ستاسو لپاره یوځای نه کړي۔ مستند 25 ثانیې یوه بېلګه ده چې د عامو UDP مودو څخه لاندې کېدو لپاره غوره شوې، نه د ځانګړې معنا لرونکې ارزښت۔
هماغه لارښوونه د کلاوډ اړخ ته کیښودل دې ستونزې ته مرسته نه کوي۔ د هغه پیر پاکټونه لا دمخه د عامه پتې څخه راځي، نو په مهم لوري کې د ساتلو نقشه نشته۔ دا ترافیک زیاتوي او هېڅ نه بدلوي۔
د وقفې اټکل پر ځای ټایمرونه ولولئ
keepalive ځکه کار کوي چې دوی د حالت له پای ته رسېدو څخه ډېر ځله راځي۔ دا موده هغه شمېره جوړوي چې تاسو ورته ریښتیني اړتیا لرئ، او په Linux کې دا د ژباړې کوونکې وسیلې په سر لوستل کېږي:
sysctl net.netfilter.nf_conntrack_udp_timeout
sysctl net.netfilter.nf_conntrack_udp_timeout_stream
sudo conntrack -L -p udp --dport 51820لومړی ارزښت د یوه UDP بهیر لپاره موده ده چې یوازې په یوه لوري لیدل شوی، او دوهم کله چې ځوابونه مشاهده شول تطبیق کېږي۔ دواړه معمولا لنډ وي، او غلي کېدونکې نقشه به هغه څه تعقیب کړي چې ستاسو بهیر ته تطبیق کېږي۔
هغه شمېره د خپلې وقفې سره پرتله کړئ۔ د 30 ثانیو مودې لاندې 25 ثانیو keepalive کار کوي؛ هماغه keepalive د 15 ثانیو مودې لاندې نه کار کوي۔ هر څومره بیا هڅه وکړئ، دا حساب نه بدلېږي۔ ځینې مصرف کوونکي روټرونه او موبایل آپریټرونه د Linux له اصلي ارزښت څخه ډېر لنډ ارزښتونه کاروي، ځکه چې یو شبکه کې کار کوونکې تنظیمات په بله کې ناکامه کېږي۔
| Observation | What it means | Reasonable response |
|---|---|---|
| Works after traffic, dies when idle | Mapping or firewall state expiring | Lower the keepalive interval |
| Never works, even immediately | No return route, listener or firewall | Stop tuning keepalive |
| Works for hours, then dies once | Carrier-side translation or address change | Check the endpoint and logs together |
اورېدونکی او فایرول جلا جلا وګورئ
ژوندې نقشه اخیستنه اړینه ده او بس نه ده۔ د کور بکس اپلیکیشن باید په سمه پته واوري، او د کوربه فایرول باید د کوډ پرانیستلو وروسته پاکټ ته اجازه ورکړي۔
sudo ss -lntup | grep 8080
sudo wg show wg0 allowed-ips
curl -sS -m 5 http://10.71.0.2:8080/healthکه سوکیټ یوازې د فزیکي انټرفیس پتې سره تړلی وي، د تونل پتې سره نه، نو د تونل له لارې راتلونکي پاکټونه د فایرول له پوښتنې مخکې غورځول کېږي۔ دا ناکامي د کلاوډ اړخ څخه د نقشې ستونزې په څېر ښکاري، او د هر keepalive سمون څخه ژوندی پاتې کېږي۔
د اجازه شوې لیست ګوري په بله لوري کې هم همدومره مهم دي۔ کلاوډ پیر باید د کور تونل پته د سرچینې په توګه اجازه ورکړي که غواړي ځواب ووایي، او کور پیر باید د کلاوډ پته د منزل په توګه اجازه ورکړي۔ keepalive پاکټونه تصدیق شوی ترافیک دی او هماغه قواعد پلي کوي، ځکه چې کار کوونکی ښکارېدونکی keepalive کولای شي د نه کار کوونکي اپلیکیشن سره یوځای وي۔
بدلون خپور کړئ او حدونه یې وپېژنئ
ترتیبات پلي کړئ، که دا ستاسو د تازه کولو طریقه وي انټرفیس بیا پیل کړئ، او بیا د سمدلاسه ازموینې پر ځای د بې کارۍ ازموینه تکرار کړئ۔ د هغې مودې څخه ډېر انتظار وکړئ چې مخکې مو لوستې وه، برعکس غوښتنه وکړئ او تایید کړئ چې شمېرونکي دواړو پایونو کې حرکت کړی دی۔
وقفه او اندازه شوې موده د هغې څنګ ته ولیکئ۔ په راتلونکي کې د روټر فرم ویر بدلون، یا موبایل اړیکې ته تلل، موده بدلولای شي۔ یادښت هغه څه دی چې یو څوک ته اجازه ورکوي ارزښت بیا ترلاسه کړي نه یې کاپي کړي۔ په یوه کرښه کې دوه شمېرې وروسته ټوله پلټنه خوندي کوي۔
دايمي keepalive حالت ساتي۔ دوی پورټ نه پرانیزي، د اجازه شوې لیست ته ننوتنه نه اضافه کوي، او د اورېدونکي ښکارېدو ته نه اړوي۔ کله چې برعکس اړیکه هېڅ نه کار کوي، ګناه په هغو دریو کې یوه ده، او د WireGuard چټک پیل د keepalive ترتیبات په هماغو تنګو شرایطو کې بیانوي۔