WireGuard په موبایل ډیټا کار کوي، خو په هماغه Wi-Fi نه
له LAN دننه د روټر عامې پتې ته تلونکې غوښتنه له موبایل ډیټا څخه راغلې غوښتنې څخه بېله لار اخلي۔ لومړی له دباندې ازموینه وکړئ، بیا ځایي لار وټاکئ۔
ټنل په موبایل ډیټا پورته راځي او بیا په کور کې د هماغه پروفایل، هماغه همکار کلي او د منځ کې د کوم کانفیګوریشن بدلون پرته په نښلېدلو حالت کې ناست وي۔ توپیر په سفر کې دی: له LAN دننه د روټر عامې پتې ته تلونکې غوښتنه هغه سفر نه دی چې له انټرنېټ څخه راغلې غوښتنه یې کوي۔ ډېری کورني ګېټوېزونه یا د بېرته راتلو لار نه پلي کوي، یا یې یوازې د ځینو پروټوکولونو لپاره پلي کوي۔ دا لامل کېږي چې نښه د مات کلي په څېر ښکاره شي، حال دا چې د کلي په اړه هېڅ نه دی بدل شوی۔ مخکې له دې چې کلي، پورټ فوروارډ یا د کليانټ پروفایل ته لاس ووهئ، معلومه کړئ کومه لار ناکامه شوه۔
یوه پته، دوه بېلې لارې
له دباندې یوه بسته د روټر عامې پتې ته رسېږي او د پورټ-فوروارډ قاعده یې د کورني هوسټ پر WireGuard اورېدونکي ته سپاري۔ له دننه کليانټ هماغه عامه پته ډائل کوي، نو بسته له کليانټ څخه وځي، روټر ته رسېږي او باید بېرته LAN ته وګرځول شي۔ هماغه د بېرته ګرځېدو نقطه ده چې دوه لارې جلا کېږي، ځکه روټر باید هغه بهیر وژباړي چې له یوې هماغې انټرفېس څخه وځي او بېرته هماغې ته ننوځي۔ ډېر پلي کوونکي د ژباړې پر ځای یې غورځوي، او بیا کليانټ هغه لاسنیونې ته انتظار کوي چې هېڅکله نه وه لېږل شوې۔
دا چلند معمولاً NAT لوپبک یا هېرپینینګ بلل کېږي، او د WireGuard نه، بلکې د روټر ځانګړنه ده؛ RFC 4787 هغه ژباړنیز حالتونه بیانوي چې ګېټوېز یې ملاتړ کولی شي یا نه۔ WireGuard خپله د لارې په اړه هېڅ نظر نه لري، ځکه یوازې هغه بستې ویني چې د هغې انټرفېس ته رسېږي۔ کله چې روټر بهیر وغورځوي، ډیمون هېڅ نه ترلاسه کوي، کليانټ د لاسنیونې وخت تېرېدل راپور کوي او د سرور لاګ خالي پاتې کېږي۔ نو خالي لاګ دا اشاره ده چې بسته چېرې ودرېده، نه دا ثبوت چې سرور بند دی۔ همدا لامل دی چې بیا نصبول هېڅ نه بدلوي۔
برعکس هم مهم دی: د سرور لاګ چې له LAN پتې څخه د لاسنیونې هڅه ښیي، ثابتوي چې بسته رسېدلې او لار سمه ده، او دا پلټنه کليو او اجازه لرونکو پتو ته وړي۔ لاګ د هغه څه لپاره ولولئ چې ثبوت یې کوي، نه د هغه څه لپاره چې تاسو یې لیدل غوښتل۔
مخکې له دې چې څه بدل کړئ، هغه بیا جوړ کړئ
له هماغه وسیلې او هماغه پروفایل سره له یو مجاز بهرني شبکه ازموینه وکړئ، بیا پرته له دې چې څه بدل کړئ، هماغه ازموینه د LAN دننه تکرار کړئ۔ له دباندې بشپړه شوې لاسنیونه او له دننه هغه کليانټ چې له وسیلې نه وځي، د اټکل پر ځای حالت بیا جوړوي۔ دواړه هڅې باید هماغه پروفایل وکاروي، که نه نو پرتله هېڅ نه ثابتوي۔
بیا وګورئ چې د دې وسیلې لپاره د پای ټکي نوم کومې پتې ته حل کېږي۔ دا درې کمانډونه دا هم ښیي چې کليانټ په رښتیا کومه پته ډائل کړې:
wg show wg0 endpoints
dig +short vpn.example.net A
resolvectl query vpn.example.netلومړی کمانډ راپور ورکوي چې انټرفېس اوس کوم پای ټکی کاروي، او نور دوه ښیي چې په دې ماشین کې نوم کومې پتې ته حل کېږي۔ هغه کليانټ چې د سرور په هماغه شبکه کې ناست وي او عامه پته ډائل کوي، د هېرپین لار کاروي۔ هغه کليانټ چې LAN پته ډائل کوي داسې نه کوي، او هلته ناکامي بېلې پلټنې ته اړه لري۔ همدا توپیر ټاکي چې بله برخه دلته پلي کېږي که نه۔
نږدې سرور ته د رسېدو ملاتړ شوې لارې
تر ټولو پاکه چاره د سپلیټ-هورایزن ځواب دی: عام نوم د انټرنېټ لپاره عامې پتې ته او د کورنیو کليانټونو لپاره د سرور LAN پتې ته حل کېږي۔ پروفایل یوازې یو د پای ټکي نوم ساتي او حل کوونکی لار ټاکي۔ دا د کورني DNS ځواب پر کنټرول اړتیا لري، چې کورنی روټر یې معمولاً برابروي او یو سازمان یې په پوره پوهه ترتیبولی شي۔ پرته له دې کنټرول، پاتې انتخابونه د روټر یوه ځانګړنه یا دویم پروفایل دی۔
د روټر ځانګړنه انعکاس دی: ګېټوېز له دننه-بهر ته بهیر ژباړي او بېرته دننه یې لېږي۔ چېرې چې کار کوي، هلته د کليانټ بدلون نه غواړي، او چېرې چې نه کار کوي، هلته هېڅ د کليانټ تنظیم یې نه ژغوري۔ د روټر د ځانګړنو لیست لوستلو پر ځای، د کورنۍ هڅې په مهال د سرور لاګ ته کتنې سره یې وازموئ۔
پروفایل شخصي پتې ته بدلول تشخیص دی، ډیزاین نه۔ دا ثابتوي چې سرور په LAN ځواب ورکوي، او لپټاپ له کوره د وتلو سمدستي هماغه پروفایل ماتېږي۔
| Approach | What it depends on | Where it fails |
|---|---|---|
| Split-horizon name | Control of the internal DNS answer | Clients that resolve through a server outside the zone |
| Router reflection | Gateway support for hairpin translation | Routers that drop the flow silently |
| Private address in the profile | Nothing beyond the LAN | Every network except the one at home |
پروفایل له کوره بهر هم د کار وړ وساتئ
کومه لار چې غوره کړئ، د هویت کتنې ته لاس مه وروئ۔ د پای ټکي پته د همکار هویت نه دی، او د پتې بدلون هېڅکله د یوې بېربطې عامه کلي منلو لپاره توجیه نه ده چې ناڅاپه ځواب ورکوي۔ WireGuard په کلي تصدیق کوي، نو غلط هوسټ لاسنیونه ناکاموي، نه چې ناڅاپي څه ته لاسرسی ورکوي۔
که عامه پته وښویېږي، ډینامیک DNS هغه څه دی چې نوم ګټور ساتي، او د کليانټ د تازه کولو چلند ټاکي چې بدلون څومره ژر پلي کېږي۔ د پتې له بدلون وروسته دا له دباندې وازموئ، ځکه چې د LAN حالت یې اعتبار نشي کولی۔ له هغه حل کوونکي څخه ډډه وکړئ چې د ریکارډ له عمر وروسته هم پخوانی ځواب په کاش کې ساتي۔ هغه نوم چې لا هم پخوانۍ پتې ته اشاره کوي، بېخي د بند پاتې سرور په څېر ښکاري۔
ولیکئ چې پروفایل کوم نوم کاروي او د پولې په دواړو غاړو کې هغه کومې پتې ته حل کېږي۔ هغه پروفایل چې پر یوې نه ثبت شوې د روټر ځانګړنې تکیه وي، هغه د ملاتړ غوښتنه ده چې د بل فرموېر تازه کېدو ته انتظار کوي۔ هماغه یادښت بل کس ته وایي چې کورنی ناکامي پېژندل شوې هېرپین پېښه ده که نوی څه۔