Gacan-qaadka WireGuard wuu shaqeeyaa, laakiin shabakadda hoose ee xafiiska ma jawaabto

Gacan-qaadku wuu dhammaadaa, wg show wuxuu soo sheegaa wareejin dhow, iyo cinwaanka tunnel-ka server-ka ayaa ka jawaabaa ping. Haddaba martigeliyaha ku yaal LAN-ka server-ka ma jawaabo. Saddex shuruudood waa inay isku mar wada buuxsamaan: macmiilku waa inuu prefix-ka LAN u jiheeyaa tunnel-ka, server-ku waa inuu baakadaha gudbiyaa, jawaabtuna waxay u baahan tahay dariiq dib u noqosho. Marka mid ka mid ah saddexda maqan yahay, calaamaddu waa isku mid.

AllowedIPs waa liis gelitaan iyo sidoo kale shaxda dariiqyada

Macmiilka, liiska AllowedIPs ayaa go'aamiya waxa loo diri karo peer-kaas iyo sidoo kale dariiqyada ay WireGuard rakibto. Gelitaanka peer-ka ee taxaya kaliya cinwaanka tunnel-ka server-ka wuxuu rakibaa hal dariiq oo martigeliye, sidaas darteed meelaha LAN weligood ma galaan tunnel-ka. Ku darista prefix-ka LAN waa waxa ugu horreeya ee la hubiyo, waana isla beddelka inta badan maqan ka dib konfigurashan la koobiyeeyay. Peer lagu ballaariyay dariiq caadi ah waa naqshad kale, wuxuuna sidoo kale dhaqaajin doonaa taraafikada internet-ka macmiilka.

Hayso dariiqa martigeliyaha iyo prefix-ka LAN oo ah gelitaanno gaar ah. Haddii xafiisku leeyahay laba shabakadood hoose, labaduba waxay ku qoran yihiin liiska, prefix-ka labaad ee maqan wuxuu abuuraa guuldarro u eg mid xulasho ah halkii ay noqon lahayd mid buuxa.

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

Gudbinta iyo turjumaaddu waxay ku yaallaan server-ka

Server-ku wuxuu u baahan yahay gudbin IP oo shidan, qaanuun gudbin oo aqbala taraafikada ka timaadda tunnel-ka, iyo qaanuun turjumaad oo u jeedda interface-ka LAN-kiisa. Turjumaaddu waa tan ka dhigta naqshadda mid shaqaysa iyada oo aan taaban martigeliye kasta oo ku yaal shabakadda xafiiska. Markaas jawaabahu waxay ku noqdaan server-ka halkii ay ku noqon lahaayeen cinwaan aan LAN-ku waligiis maqal. Iyada la'aanteed, martigeliye kastaa wuxuu u baahan yahay dariiq loo maro shabakadda hoose ee tunnel-ka iyo qaanuun firewall oo u oggolaada, taas oo aan badanaa la aqbali karin shabakad uu qof kale maamulo.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Qaanuunnada gacanta lagu daray waxay lumaan marka dib loo bilaabo, sidaas darteed ku xidh interface-ka amarrada hook ee konfigurashanka server-ka. Qaanuunno badan oo ka sii noolaada interface-kooda ayaa ah dariiqa mishiinku ugu dambayntii u turjumo taraafik tunnel aan hadda jirin.

Markii LAN-ku guuray qaanuunkuna uusan guurin

Beddelka router-ka oo dib u tirsada shabakadda hoose ee xafiiska waa nooca caadiga ah ee guuldarradan. Tunnel-ku wuu shidan yahay, gacan-qaadku wuu cusub yahay, waxbana ma jawaabaan gadaasha server-ka, sababtoo ah qaanuunka turjumaaddu wali wuxuu sheegaa cinwaankii hore. Qoraallada rakibidda waxay inta badan cinwaanka LAN-ka server-ka geliyaan qaanuun POSTROUTING, dib u tirsashada ka dibna cinwaankaas kuma jiro interface kasta. Markaas baakadaha waxaa dib loogu qoraa meel aan jawaabi karin.

iptables -t nat -n -L POSTROUTING
ip -br addr show

Isbarbar dhig labada soo-saaris. Bartilmaameedka turjumaad ee aan ka muuqan liiska interface-yada ayaa ah cilad, sixidna waa beddel hal sadar ah markaad aragto. Qaanuunku wuxuu ku noolaan karaa unit la soo saaray halkii uu ku noolaan lahaa konfigurashanka WireGuard, sidaas darteed dib u ror unit-kaas ka dib tafatirka oo xaqiiji in bilowga xiga aanu dib u qorayn beddelkaaga.

Laba goob oo NAT ka dambeeya waxay u baahan yihiin meel ay ku kulmaan

Marka aan lahin dhinac aqbalaya xiriirka soo-gelaya, jawaabta wax ku oolka ah waa martigeliye yar oo leh cinwaan dadweyne iyo laba interface oo WireGuard. Goob kastaa waxay ku xirtaa bannaanka, martigeliyaha dhexe wuxuu ku taxaa LAN-ka peer kasta gudaha AllowedIPs, oo u gaar ah, gudbinta waxay baakadaha u qaaddaa labada tunnel. Waxba ku jira firewall-ka mid kasta oo goobaha looma baahna in la beddelo, taasina waa sababta naqshaddan si fudud u faafto.

Dariiqaynta u dhaxaysa goobaha waxay haysaa cinwaannada isha asalka ah sidaasna macne u leh diiwaangelinta martigeliye kasta. Turjumaadda martigeliyaha dhexe way fudud dahay marka labada LAN is dulsaaraan, laakiin qiimaha luminta aqoonsiga isha diiwaannada. Go'aanso sifo tee ayaa muhiim ah ka hor inta aadan dooran.

Kala sooc lakabyada afar hubin

Samee hal hubin lakab kasta halkii aad beddeli lahayd saddex wax oo rajayn lahayd. Tan koowaad waxay muujinaysaa da'da gacan-qaadka iyo tirooyinka peer kasta. Tan labaad waxay muujinaysaa haddii macmiilku runtii u jiheeyo meeshaas tunnel-ka. Tan saddexaad iyo afaraad waxay kuu sheegayaan haddii codsigu yimid iyo haddii siyaasad ku tuurtay ka dib imaatinka.

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

Codsi yimaadda oo aan jawaab keenin wuxuu tilmaamaa dariiqa jawaabta ama martigeliyaha LAN. Codsi aan waligiis iman wuxuu tilmaamaa AllowedIPs ama dariiqa macmiilka. Labadan natiijo waxay u baahan yihiin sixid kala duwan, qabashaduna waa tan kala soocda.