گھریلو WireGuard ٹنل کو LAN سے واپسی کا راستہ درکار ہے

گھر تک رسائی ایک نجی سروس ہے، دوسرا انٹرنیٹ اخراجی راستہ نہیں۔ WireGuard راؤٹر کے پیچھے موجود Linux مشین پر ختم ہوتا ہے، راؤٹر اپنا موجودہ کام جاری رکھتا ہے، اور لیپ ٹاپ ٹنل سے صرف گھر کا سابقہ بھیجتا ہے۔ کون سا آلہ آگے بھیجتا ہے اور کون ختم کرتا ہے، یہی وہ فیصلہ ہے جس سے آگے کا ہر اصول نکلتا ہے۔ یہ تقسیم غلط ہوئی تو آپ ایسے NAT کی خرابی دور کریں گے جو شامل کرنے کا ارادہ نہ تھا۔

طے کریں کون آگے بھیجتا ہے اور کون ختم کرتا ہے

عوامی داخلہ راؤٹر کے پاس ہے: وہ UDP پیکٹ وصول کر کے Linux میزبان کو دیتا ہے۔ اسی میزبان کے پاس WireGuard سننے والا اور LAN میں آگے بھیجنے کا فیصلہ ہے۔ عملاً نقشہ بندی UDP 51820 کو 192.168.50.10 پر بھیجتی ہے، اور ایپلیکیشن کا اپنا پورٹ بند رہتا ہے۔ کردار الگ رکھنا فائر وال کو مختصر رکھتا ہے۔

انٹرفیس بنانے سے پہلے پتوں کا منصوبہ لکھیں۔ راؤٹر 192.168.50.1، گیٹ وے 192.168.50.10، سروس 192.168.50.20، ٹنل 10.77.0.0/24 جس میں گیٹ وے .1 اور لیپ ٹاپ .2 ہے۔ ٹنل کی حد ایسے نیٹ ورک سے نہیں ملنی چاہیے جہاں لیپ ٹاپ پہلے ہی پہنچتا ہے، ورنہ منزلیں مبہم ہو جاتی ہیں. کیریئر گریڈ NAT یا اوپر کا راؤٹر آنے والی رسائی روک سکتا ہے، اور کوئی مقامی پورٹ فارورڈنگ اسے درست نہیں کرتی۔

کلیدیں بدلیں، پھر AllowedIPs کا حجم طے کریں

ہر سرے کے لیے الگ کلید جوڑی بنائیں اور صرف عوامی کلیدیں تصدیق شدہ راستے سے منتقل کریں۔ گیٹ وے کا peer اندراج صرف لیپ ٹاپ کے ٹنل ماخذ کو اجازت دیتا ہے، کیونکہ گھریلو LAN لیپ ٹاپ کے پیچھے نہیں، گیٹ وے کے پیچھے ہے۔ LAN کو اس اندراج میں رکھنا ایسی ٹوپولوجی بیان کرتا ہے جو آپ نے نہیں بنائی۔

[Interface]
Address = 10.77.0.2/32
PrivateKey = LAPTOP_PRIVATE_KEY_BASE64

[Peer]
PublicKey = HOME_PUBLIC_KEY_BASE64
Endpoint = home-vpn.example.com:51820
AllowedIPs = 192.168.50.0/24, 10.77.0.1/32

AllowedIPs گھر کا سابقہ اور گیٹ وے کا ٹنل پتہ ہے، کبھی 0.0.0.0/0 نہیں، تاکہ عام براؤزنگ اپنا مقامی راستہ برقرار رکھے۔ ایک ہی کنفیگریشن مالک رکھیں، اور وہی انٹرفیس کبھی دوسرے نیٹ ورک مینیجر سے نہ جوڑیں۔

واپسی کا راستہ وہ حصہ ہے جسے لوگ چھوڑ دیتے ہیں

یہ ڈیزائن لیپ ٹاپ کا ماخذ 10.77.0.2 گیٹ وے کے طور پر چھپانے کے بجائے برقرار رکھتا ہے، اس لیے گھریلو آلات کو جاننا ہوگا کہ اسے کیسے جواب دینا ہے۔ گھریلو راؤٹر پر 10.77.0.0/24 کے لیے جامد راستہ شامل کریں جس میں 192.168.50.10 اگلا ہاپ ہو، اور پڑھیں کہ wg-quick AllowedIPs سے کیا نکالتا ہے، اس کے حوالہ میں۔ اس راستے کے بغیر، مکمل ہوا ہینڈ شیک ایسے ایپلیکیشن جوابات کے ساتھ رہتا ہے جو کبھی نہیں آتے۔

اگر راؤٹر یہ راستہ نہ اٹھا سکے تو دستاویزی واپسی ڈیزائن چنیں۔ خاموشی سے NAT شامل کرنا اس کے بجائے وہی ماخذ ماڈل بدل دیتا ہے جو آپ نے ابھی لکھا۔

ایک سروس کی اجازت دیں، سب نیٹ کی نہیں

گیٹ وے پر IPv4 فارورڈنگ فعال کریں اور فائر وال کی تین ذمہ داریاں الگ رکھیں: WireGuard سننے والے کو گزرنے دیں، لیپ ٹاپ کا ماخذ صرف 192.168.50.20 پر بھیجیں، اور گھریلو نیٹ ورک کا باقی حصہ اس peer کے لیے بند رکھیں۔ اصولوں کو پہلے سے مستعمل فائر وال مینیجر میں شامل کریں، اسے خالی نہ کریں۔ پورے گھریلو سابقے کے لیے راستہ اندر کے ہر آلے کے استعمال کی اجازت نہیں ہے۔

ایپلیکیشن کی اپنی توثیق اور میزبان کی فائر وال الگ دروازہ ہیں۔ اس سروس کا نام لیں جس کی اصولوں کا مجموعہ اجازت دیتا ہے، تاکہ اگلا جائزہ لینے والا اسے مطلوبہ کام سے ملا سکے۔

باہر سے جانچیں، پھر صاف طریقے سے ہٹائیں

پروفائل ان کے مالک کے ذریعے چلائیں، ہینڈ شیک کی تصدیق کریں، پھر منظور شدہ بیرونی نیٹ ورک سے مطلوبہ ایپلیکیشن چلائیں اور جواب جانچیں۔ ایسی گھریلو سروس آزمائیں جو مسترد ہی رہنی چاہیے، کیونکہ اجازت دینے والا اصول اس وقت تک نظر نہیں آتا جب تک کوئی اسے استعمال نہ کرے۔ HTTPS کے لیے سرٹیفکیٹ پر لکھا نام استعمال کریں اور توثیق چلنے دیں؛ خام پتہ ٹائپ کر کے انتباہ سے گزرنا راستے کے بارے میں کچھ ثابت نہیں کرتا۔ PersistentKeepalive اختیاری ہے: بیکاری کے بعد NAT میں بندھے peer کی مدد کرتا ہے، لیکن یہ نہ گم شدہ راستہ ہے نہ اجازت کی درستی۔

متحرک عوامی پتے کو DNS اپ ڈیٹ درکار ہیں، اور تبدیلی کے بعد لیپ ٹاپ کو اپنا اینڈ پوائنٹ دوبارہ حل کرنا ہوتا ہے؛ نئی DNS ریکارڈ کنفیگر شدہ اینڈ پوائنٹ کو نہیں ہلاتیں۔ محفوظ اور فعال کنفیگریشن سے اس کا peer ہٹا کر لیپ ٹاپ واپس لیں؛ صرف لیپ ٹاپ پروفائل مٹانے سے گیٹ وے کی اجازت منسوخ نہیں ہوتی۔