WireGuard کا ڈیفالٹ روٹ لوپ: اینڈ پوائنٹ کا راستہ تلاش کریں

انٹرفیس اوپر آتا ہے، ہم منصب کی ترتیب درست دکھتی ہے، اور کوئی مصافحہ کبھی مکمل نہیں ہوتا۔ ٹنل کے ذریعے ڈیفالٹ روٹ شامل کرنا وہ قدم ہے جو اکثر یہ پیدا کرتا ہے: وہی روٹ ٹیبل اب فیصلہ کرتا ہے کہ ٹنل کے اپنے خفیہ کردہ پیکٹ کہاں جائیں، اور جو جواب وہ دیتا ہے وہ واپس ٹنل میں ہی جاتا ہے۔ کوئی چیز بیرونی پیکٹ کو نہیں لے جا سکتی جو اندرونی پیکٹ کو لے جائے، اس لیے کنکشن شروع ہونے سے پہلے ہی رک جاتا ہے۔ مرمت چھوٹی ہے، لیکن اس کا ایک ترتیب ہے، اور تصدیق ترمیم سے زیادہ اہم ہے۔

روٹ تبدیل کرنے سے پہلے لوپ کی تصدیق کریں

ہم منصب کا موجودہ اینڈ پوائنٹ پتہ پڑھیں اور پھر روٹنگ اسٹیک سے پوچھیں کہ اس پتے پر جانے والا پیکٹ کہاں جائے گا۔ اگر جواب ٹنل انٹرفیس کا نام لے، تو لوپ کی تصدیق ہو گئی ہے اور مزید تشخیص کی ضرورت نہیں۔ کچھ بھی چھونے سے پہلے دونوں آؤٹ پٹ تبدیلی کے ریکارڈ میں محفوظ کریں، کیونکہ مرمت کے بعد موازنہ وہی دو کمانڈز ہیں۔ لوپ ایک بار دیکھنے کے بعد باریک نہیں رہتا؛ مشکل یہ ہے کہ ایسا ہوتے وقت انٹرفیس صحت مند دکھتا ہے۔

sudo wg show wg1 endpoints
ip route get 198.51.100.20
ip rule show

اس ریکارڈ میں پالیسی قواعد شامل کریں۔ مرکزی جدول میں درست دکھنے والا ڈیفالٹ روٹ پھر بھی ایسے قاعدے سے ہار سکتا ہے جو نشان زدہ یا بغیر نشان والے ٹریفک کے لیے مختلف جدول منتخب کرتا ہے، اور روٹ ٹیبل درست دکھنے کے باوجود لوپ دوبارہ ظاہر ہوگا۔

اینڈ پوائنٹ کا راستہ پڑھیں، ٹنل کا راستہ نہیں

اینڈ پوائنٹ کا راستہ وہ راستہ ہے جس سے خفیہ کردہ ڈیٹا گرام ہم منصب کے عوامی پتے تک جاتے ہیں، اور جب تک ٹنل موجود ہے اسے ٹنل سے باہر رہنا چاہیے۔ ٹنل کا راستہ وہ سب کچھ ہے جو ہم منصب کو لے جانے کی اجازت ہے۔ یہ دونوں راستے ایک ہی روٹ ٹیبل بانٹتے ہیں، اور اسی وجہ سے ایک ہی سب کچھ پکڑنے والا اندراج انہیں ایک دوسرے میں ڈھا سکتا ہے۔ ٹنل کی ٹریفک کو ٹنل کی اپنی نقل و حمل سے الگ کرنا پورا ڈیزائن مسئلہ ہے، اور ہر معاون آلہ اسے کہیں تھوڑا مختلف طریقے سے حل کرتا ہے۔

اگر انٹرفیس دونوں لے جاتا ہے تو دونوں پتہ خاندانوں کو الگ الگ جانچیں۔ کام کرنے والا IPv4 استثنا اس بارے میں کچھ نہیں کہتا کہ IPv6 اینڈ پوائنٹ اب بھی قابل رسائی ہے یا نہیں، اور مخلوط ترتیب ہم منصب کے IPv6 پتے کے منتخب ہونے تک کام کرتی دکھ سکتی ہے۔

ایک مربوط تبدیلی سے اینڈ پوائنٹ کا راستہ بحال کریں

دو معاون طریقے موجود ہیں، اور انہیں ملانا ہی کام کرنے والی ترتیب کو غیر متوقع بناتا ہے۔ پہلا یہ ہے کہ انٹرفیس کا مالک آلہ پوری ٹنل سنبھالے: wg-quick کے پاس ڈیفالٹ ہم منصب کی حد کے لیے مخصوص ہینڈلنگ ہے جو الگ جدول، پالیسی قواعد اور ساکٹ نشان نصب کرتی ہے، جو بیرونی پیکٹوں کو ٹنل سے باہر رکھتا ہے۔ اس میکانزم کو اچھوتا رہنے دیں، اس کے آدھے حصے کو ہاتھ سے دوبارہ بنانے کے بجائے۔ ایسی ترتیب جو ہاتھ سے شامل کردہ ڈیفالٹ کو ایسے منتظم کے ساتھ ملاتی ہے جو پہلے ہی نشانات اور قواعد نصب کرتا ہے، دوبارہ جڑنے کے بعد ناکام ہو جاتی ہے، جب منتظم اس حالت کو دوبارہ لکھتا ہے جسے ہاتھ کے قدم نے فرض کیا تھا۔

دوسرا ہاتھ سے بنایا گیا ڈیزائن ہے جس میں اینڈ پوائنٹ کو طبعی گیٹ وے کے ذریعے واضح ہوسٹ روٹ ملتا ہے۔ اس روٹ کو ڈیفالٹ سے پہلے شامل کریں، شامل کرنے کے بجائے بدلیں تاکہ پرانا اندراج جیت نہ سکے، اور پھر تلاش کی تصدیق کریں۔

sudo ip route replace 198.51.100.20/32 via 192.0.2.1 dev eth0
ip route get 198.51.100.20
sudo ip route add default dev wg1

تصدیق کریں، پھر واپسی کا راستہ رکھیں

آگے بڑھنے والا مصافحہ ٹائم اسٹیمپ پہلا ثبوت ہے، اور یہ صرف موجود انٹرفیس سے زیادہ مضبوط ہے۔ ٹنل کے ذریعے ایپلیکیشن ٹیسٹ کے ساتھ اس کی پیروی کریں، پھر جان بوجھ کر انٹرفیس نیچے کریں اور تصدیق کریں کہ میزبان کچھ بھی نہ دکھانے والا ڈیفالٹ روٹ رکھنے کے بجائے قابل استعمال حالت میں واپس آتا ہے۔ وہ آخری قدم لوگ چھوڑ دیتے ہیں، اور ری بوٹ مشین کو بغیر کنکشن چھوڑے گا یا نہیں یہی طے کرتا ہے۔

sudo wg show wg1 latest-handshakes
sudo wg-quick down wg1
ip route show default
ip route get 198.51.100.20

ان سب سے پہلے، موجودہ روٹنگ حالت محفوظ کریں اور یقینی بنائیں کہ داخلے کا ایسا راستہ موجود ہے جو ٹنل پر منحصر نہ ہو: کنسول، آؤٹ آف بینڈ مینجمنٹ پتہ یا سائٹ پر کوئی ساتھی۔ ڈیفالٹ روٹ کھو دینے والی دور دراز مشین کو اسی کنکشن پر بحال نہیں کیا جا سکتا جو اس نے ابھی کھویا ہے، اور رن بک کا محفوظ ترین قدم پہلی کمانڈ سے پہلے اٹھایا گیا قدم ہے۔