WireGuard හස්ත සම්බන්ධය ක්‍රියා කරයි, නමුත් කාර්යාල උපජාලය පිළිතුරු දෙන්නේ නැත

හස්ත සම්බන්ධය සම්පූර්ණ වේ, wg show මෑත සම්ප්‍රේෂණයක් වාර්තා කරයි, සහ සේවාදායකයේ ටනල් ලිපිනය පිංග් එකට පිළිතුරු දෙයි. නමුත් සේවාදායකයේ LAN එකේ ඇති සත්කාරකයක් පිළිතුරු දෙන්නේ නැත. කොන්දේසි තුනක් එකවර සත්‍ය විය යුතුය: සේවාලාභියා LAN පූර්වාංකය ටනලයට යොමු කළ යුතුය, සේවාදායකය පැකට් යැවිය යුතුය, සහ පිළිතුරට ආපසු යන මාර්ගයක් අවශ්‍යය. තුනෙන් එකක් නොමැති විට රෝග ලක්ෂණය සමානය.

AllowedIPs යනු ප්‍රවේශ ලැයිස්තුවක් මෙන්ම මාර්ග සැකසුම් වගුවක් ද වේ

සේවාලාභියා තුළ, AllowedIPs ලැයිස්තුව එම සහකරුට යැවිය හැකි දේ සහ WireGuard ස්ථාපනය කරන මාර්ග යන දෙකම තීරණය කරයි. සේවාදායකයේ ටනල් ලිපිනය පමණක් ලැයිස්තුගත කරන සහකරු පිවිසුමක් එක් සත්කාරක මාර්ගයක් පමණක් ස්ථාපනය කරයි, එබැවින් LAN ගමනාන්ත කිසිදා ටනලයට ඇතුළු නොවේ. LAN පූර්වාංකය එකතු කිරීම පළමුව පරීක්ෂා කළ යුතු දෙය වන අතර, පිටපත් කළ වින්‍යාසයකින් පසු වඩාත්ම නිතර අතපසු වන වෙනස ද එයමය. පෙරනිමි මාර්ගය දක්වා පුළුල් කළ සහකරු වෙනත් නිර්මාණයක් වන අතර, එය සේවාලාභියාගේ අන්තර්ජාල ගමනාගමනය ද ගෙනයයි.

සත්කාරක මාර්ගය සහ LAN පූර්වාංකය වෙන වෙනම පිවිසුම් ලෙස තබා ගන්න. කාර්යාලයට උපජාල දෙකක් තිබේ නම්, දෙකම ලැයිස්තුවට අයත් වේ, සහ නොමැති දෙවන පූර්වාංකය සම්පූර්ණ නොවන, තෝරාගත් ලෙස පෙනෙන අසාර්ථකත්වයක් ඇති කරයි.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

යැවීම සහ පරිවර්තනය සේවාදායකයේ තිබිය යුතුය

සේවාදායකයට IP යැවීම සක්‍රීය, ටනලයෙන් එන ගමනාගමනය පිළිගන්නා යැවීම් නියමයක්, සහ එහි LAN අතුරුමුහුණත දෙසට පරිවර්තන නියමයක් අවශ්‍යය. මෙම පරිවර්තනය නිසා කාර්යාල ජාලයේ සෑම සත්කාරකයක්ම ස්පර්ශ නොකර නිර්මාණය ක්‍රියා කරයි. එවිට පිළිතුරු LAN කිසිදා නොඇසූ ලිපිනයකට නොව සේවාදායකයට ආපසු එයි. එය නොමැති නම්, සෑම සත්කාරකයකටම ටනල් උපජාලය සඳහා මාර්ගයක් සහ එයට අවසර දෙන ගිනිපවුරු නියමයක් අවශ්‍ය වන අතර, එය වෙනත් කෙනෙකු කළමනාකරණය කරන ජාලයක කලාතුරකින් පිළිගත හැකි ය.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

අතින් එකතු කළ නියම නැවත ආරම්භයේදී අතුරුදහන් වේ, එබැවින් සේවාදායක වින්‍යාසයේ hook විධාන මගින් ඒවා අතුරුමුහුණතට බැඳ දමන්න. තම අතුරුමුහුණතට වඩා දිගු කල් පවතින නියම කට්ටලයක් නිසා යන්ත්‍රය තවදුරටත් නොපවතින ටනලයක් සඳහා ගමනාගමනය පරිවර්තනය කරයි.

LAN ගිය නමුත් නියම නොගිය විට

කාර්යාල උපජාලය නැවත අංකනය කරන රවුටරයක් ප්‍රතිස්ථාපනය කිරීම මෙම අසාර්ථකත්වයේ සම්භාව්‍ය අවස්ථාවයි. ටනලය සක්‍රීයව පවතී, හස්ත සම්බන්ධය නැවුම්ව පවතී, සහ සේවාදායකය පිටුපස කිසිවක් පිළිතුරු නොදෙයි, මන්ද පරිවර්තන නියමය තවමත් පැරණි ලිපිනය නම් කරයි. ස්ථාපක ස්ක්‍රිප්ත බොහෝ විට සේවාදායකයේ LAN ලිපිනය POSTROUTING නියමයට ඇතුළත් කරයි, සහ නැවත අංකනය කිරීමෙන් පසු එම ලිපිනය කිසිදු අතුරුමුහුණතක නොපවතී. එවිට පැකට් පිළිතුරු දිය නොහැකි ගමනාන්තයකට නැවත ලියැවේ.

iptables -t nat -n -L POSTROUTING
ip -br addr show

ප්‍රතිදාන දෙක සසඳන්න. අතුරුමුහුණත් ලැයිස්තුවේ නොපෙනෙන පරිවර්තන ඉලක්කය ම දෝෂයයි, සහ එය එක් වරක් දුටු පසු නිවැරදි කිරීම එක් පේළියක වෙනසකි. නියමය WireGuard වින්‍යාසයේ නොව ජනනය කළ unit එකක තිබිය හැකි බැවින්, සංස්කරණයෙන් පසු එම unit නැවත පූරණය කර ඊළඟ ආරම්භය ඔබේ වෙනස නැවත නොලියන බව තහවුරු කරන්න.

NAT පිටුපස ඇති අඩවි දෙකකට හමුවීමට ස්ථානයක් අවශ්‍යය

කිසිදු පාර්ශ්වයක් ඇතුළතින් එන සම්බන්ධතා පිළිනොගන්නා විට, ප්‍රායෝගික පිළිතුර වන්නේ පොදු ලිපිනයක් සහ WireGuard අතුරුමුහුණත් දෙකක් සහිත කුඩා සත්කාරකයකි. සෑම අඩවියක්ම පිටතට සම්බන්ධ වේ, මැද සත්කාරකය සෑම සහකරුවෙකුගේ LAN එක තම AllowedIPs, එනම් තම ලැයිස්තුව තුළ, ලැයිස්තුගත කරයි, සහ යැවීම ටනල දෙක අතර පැකට් ගෙනයයි. කිසිදු අඩවියක ගිනිපවුරේ කිසිවක් වෙනස් කිරීමට අවශ්‍ය නැත, එබැවින් මෙම නිර්මාණය පහසුවෙන් පැතිරේ.

අඩවි අතර මාර්ගකරණය මුල් මූලාශ්‍ර ලිපින රඳවා ගනී, එබැවින් සත්කාරකය අනුව ලොග් කිරීම අර්ථවත් කරයි. LAN දෙක එකිනෙක අතිච්ඡාදනය වන විට මැද සත්කාරකයේ පරිවර්තනය සරල ය, නමුත් ලොග් තුළ මූලාශ්‍ර අනන්‍යතාව අහිමි වීමේ මිලට. තෝරා ගැනීමට පෙර කුමන ගුණාංගයද වැදගත් යන්න තීරණය කරන්න.

පරීක්ෂණ හතරකින් ස්ථර වෙන් කරන්න

කරුණු තුනක් වෙනස් කර බලාපොරොත්තු වනවාට වඩා සෑම ස්ථරයකටම එක් පරීක්ෂණයක් කරන්න. පළමුවැන්න සෑම සහකරුවෙකුටම හස්ත සම්බන්ධයේ වයස සහ ගණනයන් පෙන්වයි. දෙවැන්න සේවාලාභියා එම ගමනාන්තය සැබවින්ම ටනලයට යොමු කරන්නේද යන්න පෙන්වයි. තුන්වැන්න සහ හතරවැන්න ඉල්ලීම පැමිණියේද සහ පැමිණීමෙන් පසු ප්‍රතිපත්තියක් එය ඉවත් කළේද යන්න පවසයි.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

පැමිණ පිළිතුරක් නොගෙනෙන ඉල්ලීමක් පිළිතුරේ මාර්ගය හෝ LAN සත්කාරකය දෙසට යොමු කරයි. කිසිදා නොපැමිණෙන ඉල්ලීමක් AllowedIPs හෝ සේවාලාභියාගේ මාර්ගය දෙසට යොමු කරයි. මෙම ප්‍රතිඵල දෙකට වෙනස් නිවැරදි කිරීම් අවශ්‍ය වන අතර, ග්‍රහණය ම ඒවා වෙන් කරයි.