WireGuard PersistentKeepalive: NAT மேப்பிங்கை உயிரோடு வைத்திருங்கள்
சகா போக்குவரத்தை அனுப்பிய உடனேயே மட்டும் தலைகீழ் இணைப்பு வேலை செய்தால், மேப்பிங் காலாவதியாகிறது. திசைவியின் பின்னால் keepalive அமைத்து பின்னர் உண்மையான கால வரம்பைப் படியுங்கள்.
வீட்டுப் பெட்டி சுரங்கத்தைத் திறந்து எந்தச் சிக்கலும் இல்லாமல் மேகச் சேவையகத்தை அடைகிறது. வீட்டுப் பெட்டி கடைசியாக ஏதாவது அனுப்பிய பிறகு மேகச் சேவையகம் ஒன்று அல்லது இரண்டு நிமிடங்கள் வீட்டுப் பயன்பாட்டை அடைய முடியும், பின்னர் நிற்கும். WireGuard பதிவில் எதுவும் தெரியவில்லை, எந்த கைக்குலுக்கல் பிழையும் தெரிவிக்கப்படவில்லை, சுரங்கத்தை மீண்டும் தொடங்கினால் சிறிது நேரம் சரியாகும். அந்த முறை காலாவதியாகும் மேப்பிங், உடைந்த சுரங்கம் அல்ல, மேலும் கீழே உள்ள வழிகாட்டி எதையும் மாற்றுவதற்கு முன் அதை உறுதிப்படுத்துகிறது.
முறை செயலற்ற நேரத்தில் காலாவதிதான் என்பதை உறுதிப்படுத்துங்கள்
வேறுபடுத்தும் விவரம் நேரம். வீட்டுச் சகாவின் போக்குவரத்து அனுப்பிய உடனேயே தலைகீழ் இணைப்பு வேலை செய்து, அமைதியான இடைவெளிக்குப் பிறகு தோல்வியடைந்தால், பாதை சரியாக உள்ளது, நடுவில் உள்ள நிலை அல்ல. அது ஒருபோதும் வேலை செய்யவில்லை என்றால், போக்குவரத்துக்குப் பிறகும் கூட, இது தவறான கண்டறிதல்.
sudo wg show wg0 latest-handshakes
sudo wg show wg0 endpoints
sudo wg show wg0 transferவீட்டுச் சகா ஏதாவது அனுப்பிய உடனேயே முதல் இரண்டை இயக்கவும், ஐந்து நிமிடங்கள் காத்திருந்து மீண்டும் இயக்கவும். புதிய முனைப்புள்ளி இல்லாமல் அட்டவணைப்படி புதுப்பிக்கப்படும் கைக்குலுக்கல் நேரமுத்திரை சுரங்கம் உயிரோடு உள்ளது என்று சொல்கிறது. மாறியது வெளியிலிருந்து கோரப்படாத பொதிகளை வரும் திறன், இது சுரங்கத்தின் அல்ல, பாதையின் பண்பு.
பின்னர் தலைகீழ் முயற்சி செய்து பரிமாற்ற எண்ணிகளைப் பாருங்கள். மேகப் பக்கம் பைட்டுகளை அனுப்பி வீட்டுப் பக்கம் ஒன்றையும் பெறவில்லை என்றால், பொதி மேகத்தை விட்டு வழியில் நிலையை வைத்திருக்கும் சாதனத்தில் இறந்தது. நீங்கள் தேடும் கையொப்பம் அதுதான். இரண்டு எண்ணிகளும் நகர்ந்தால், சுரங்கம் பொதியை வழங்கியது, சந்தேகத்திற்குரியது பயன்பாடு.
keepalive-ஐ திசைவியின் பின்னால் உள்ள சகாவில் வையுங்கள்
நிரந்தர keepalive அட்டவணைப்படி சிறிய அங்கீகரிக்கப்பட்ட பொதியை அனுப்பி NAT மேப்பிங் மற்றும் எந்த ஃபயர்வால் நிலையையும் உயிரோடு வைக்கின்றன. அமைப்பு திசைவியின் பின்னால் உள்ள இயந்திரத்தில், தொலைச் சகாவுக்கான அதன் பதிவில் இருக்க வேண்டும், ஏனெனில் அந்தப் பக்கத்தின் வெளிச்செல்லும் பொதிதான் நிலையை உருவாக்குகிறது.
[Peer]
PublicKey = <cloud peer public key>
AllowedIPs = 10.71.0.1/32
PersistentKeepalive = 25அதை ஏற்கனவே உள்ள சகா பகுதியுடன் இணைக்கவும். அதே பொது விசையுடன் இரண்டாவது தொகுதியைச் சேர்ப்பது விருப்பங்களைச் சேர்ப்பதற்கான சரியான வழி அல்ல, wg-quick அவற்றை உங்களுக்காக இணைக்காது. ஆவணப்படுத்தப்பட்ட 25 வினாடிகள் பொதுவான UDP கால வரம்புகளுக்குக் கீழே இருக்கத் தேர்ந்தெடுக்கப்பட்ட உதாரணம், சிறப்பு அர்த்தமுள்ள மதிப்பு அல்ல.
அதே அறிவுறுத்தலை மேகப் பக்கத்தில் வைப்பது இந்தச் சிக்கலுக்கு உதவாது. அந்தச் சகாவின் பொதிகள் ஏற்கனவே பொது முகவரியிலிருந்து வருகின்றன, எனவே முக்கியமான திசையில் பாதுகாக்க மேப்பிங் இல்லை. இது போக்குவரத்தைச் சேர்க்கிறது, எதையும் மாற்றவில்லை.
இடைவெளியை ஊகிப்பதற்குப் பதிலாக நேரங்காட்டிகளைப் படியுங்கள்
keepalive வேலை செய்வது நிலை காலாவதியாவதை விட அடிக்கடி வருவதால். இது கால வரம்பை உங்களுக்கு உண்மையில் தேவையான எண்ணாக மாற்றுகிறது, Linux-இல் மொழிபெயர்ப்பு செய்யும் சாதனத்தில் அதைப் படிக்கலாம்:
sysctl net.netfilter.nf_conntrack_udp_timeout
sysctl net.netfilter.nf_conntrack_udp_timeout_stream
sudo conntrack -L -p udp --dport 51820முதல் மதிப்பு ஒரு திசையில் மட்டும் காணப்பட்ட UDP ஓட்டத்திற்கான கால வரம்பு, இரண்டாவது பதில்கள் கவனிக்கப்பட்ட பிறகு பொருந்தும். இரண்டும் பொதுவாகக் குறுகியவை, அமைதியாகும் மேப்பிங் உங்கள் ஓட்டத்திற்குப் பொருந்துவதைப் பின்பற்றும்.
அந்த எண்ணை உங்கள் இடைவெளியுடன் ஒப்பிடுங்கள். 30 வினாடி கால வரம்பின் கீழ் 25 வினாடி keepalive வேலை செய்கிறது; அதே keepalive 15 வினாடி கால வரம்பின் கீழ் வேலை செய்யாது. எத்தனை முறை மீண்டும் முயற்சித்தாலும் அந்தக் கணக்கு மாறாது. சில நுகர்வோர் திசைவிகள் மற்றும் மொபைல் ஆபரேட்டர்கள் Linux இயல்புநிலையை விட மிகக் குறுகிய மதிப்புகளைப் பயன்படுத்துகின்றன, அதனால்தான் ஒரு பிணையத்தில் வேலை செய்யும் உள்ளமைவு மற்றொன்றில் தோல்வியடைகிறது.
| Observation | What it means | Reasonable response |
|---|---|---|
| Works after traffic, dies when idle | Mapping or firewall state expiring | Lower the keepalive interval |
| Never works, even immediately | No return route, listener or firewall | Stop tuning keepalive |
| Works for hours, then dies once | Carrier-side translation or address change | Check the endpoint and logs together |
செவிப்பான் மற்றும் ஃபயர்வாலைத் தனித்தனியாகச் சரிபாருங்கள்
உயிரோடு உள்ள மேப்பிங் தேவை, போதாது. வீட்டுப் பெட்டியில் உள்ள பயன்பாடு சரியான முகவரியில் கேட்க வேண்டும், ஹோஸ்ட் ஃபயர்வால் பிரித்தெடுக்கப்பட்ட பிறகு பொதியை அனுமதிக்க வேண்டும்.
sudo ss -lntup | grep 8080
sudo wg show wg0 allowed-ips
curl -sS -m 5 http://10.71.0.2:8080/healthசாக்கெட் சுரங்க முகவரிக்கு அல்லாமல் இயற்பியல் இடைமுக முகவரியுடன் மட்டும் பிணைக்கப்பட்டிருந்தால், சுரங்கத்தில் வரும் பொதிகள் ஃபயர்வாலைக் கேட்பதற்கு முன்பே நிராகரிக்கப்படும். இந்தத் தோல்வி மேகப் பக்கத்திலிருந்து மேப்பிங் சிக்கலைப் போலவே தெரிகிறது, ஒவ்வொரு keepalive சரிசெய்தலையும் தாண்டி நீடிக்கிறது.
அனுமதிக்கப்பட்ட பட்டியலின் சரிபார்ப்பு மறு திசையிலும் சமமாக முக்கியம். மேகச் சகா பதிலளிக்கப் போனால் வீட்டுச் சுரங்க முகவரியை மூலமாக அனுமதிக்க வேண்டும், வீட்டுச் சகா மேக முகவரியை இலக்காக அனுமதிக்க வேண்டும். keepalive பொதிகள் அங்கீகரிக்கப்பட்ட போக்குவரத்து, அவை அதே விதிகளைப் பயன்படுத்துகின்றன, அதனால்தான் வேலை செய்வது போலத் தெரியும் keepalive வேலை செய்யாத பயன்பாட்டுடன் இணைந்து இருக்க முடியும்.
மாற்றத்தைப் பரப்பி அதன் எல்லைகளை அறியுங்கள்
அமைப்பைப் பயன்படுத்துங்கள், அது உங்கள் புதுப்பிப்பு முறையெனில் இடைமுகத்தை மீண்டும் தொடங்குங்கள், பின்னர் உடனடிப் பரிசோதனைக்குப் பதிலாக செயலற்ற பரிசோதனையை மீண்டும் செய்யுங்கள். முன்பு படித்த கால வரம்பை விட அதிக நேரம் காத்திருங்கள், தலைகீழ் கோரிக்கை செய்து இரு முனைகளிலும் எண்ணிகள் நகர்ந்ததை உறுதிப்படுத்துங்கள்.
இடைவெளியையும் அளந்த கால வரம்பையும் அதன் அருகில் பதிவு செய்யுங்கள். எதிர்காலத்தில் திசைவியின் ஃபேர்ம்வேர் மாறினால், அல்லது மொபைல் இணைப்புக்கு மாறினால், கால வரம்பு மாறலாம். குறிப்புதான் மதிப்பை நகலெடுப்பதற்குப் பதிலாக மீண்டும் பெற உதவுகிறது. ஒரே வரியில் இரண்டு எண்கள் பின்னர் ஒரு முழு விசாரணையைச் சேமிக்கின்றன.
நிரந்தர keepalive நிலையைப் பாதுகாக்கின்றன. அவை துறைமுகத்தைத் திறக்கவில்லை, அனுமதிக்கப்பட்ட பட்டியலில் பதிவைச் சேர்க்கவில்லை, எந்தச் செவிப்பானையும் தோன்றச் செய்யவில்லை. தலைகீழ் இணைப்பு முற்றிலும் வேலை செய்யாதபோது, குற்றம் அந்த மூன்றில் ஒன்று, மேலும் WireGuard விரைவு தொடக்கம் அதே குறுகிய சொற்களில் keepalive அமைப்பை விவரிக்கிறது.