WireGuard کا ہینڈ شیک کام کرتا ہے، لیکن دفتر کا ذیلی نیٹ جواب نہیں دیتا

ہینڈ شیک مکمل ہوتا ہے، wg show حالیہ منتقلی کی اطلاع دیتا ہے، اور سرور کا ٹنل پتہ پنگ کا جواب دیتا ہے۔ مگر سرور کے LAN پر ایک ہوسٹ جواب نہیں دیتا۔ تین شرطیں بیک وقت پوری ہونی چاہئیں: کلائنٹ LAN پری فکس کو ٹنل میں روٹ کرے، سرور پیکٹ فارورڈ کرے، اور جواب کو واپسی کا راستہ چاہیے۔ تینوں میں سے ایک نہ ہو تو علامت وہی رہتی ہے۔

AllowedIPs بیک وقت رسائی فہرست اور روٹنگ جدول ہے

کلائنٹ پر، AllowedIPs فہرست طے کرتی ہے کہ اس پیر کو کیا بھیجا جا سکتا ہے اور WireGuard کون سے راستے نصب کرتا ہے۔ جو پیر اندراج صرف سرور کا ٹنل پتہ درج کرتا ہے وہ ایک ہوسٹ راستہ نصب کرتا ہے، اس لیے LAN کی منزلیں کبھی ٹنل میں داخل نہیں ہوتیں۔ LAN پری فکس شامل کرنا پہلی چیز ہے جس کی جانچ کرنی چاہیے، اور کاپی شدہ کنفیگریشن کے بعد سب سے زیادہ چھوٹنے والی تبدیلی بھی یہی ہے۔ ڈیفالٹ راستے تک بڑھایا گیا پیر الگ ڈیزائن ہے، اور یہ کلائنٹ کی انٹرنیٹ ٹریفک بھی منتقل کرے گا۔

ہوسٹ راستے اور LAN پری فکس کو الگ اندراجات کے طور پر رکھیں۔ اگر دفتر میں دو ذیلی نیٹ ہیں تو دونوں فہرست میں آتے ہیں، اور چھوٹا ہوا دوسرا پری فکس مکمل نہیں بلکہ انتخابی نظر آنے والی ناکامی پیدا کرتا ہے۔

[Peer]
PublicKey = <server public key>
Endpoint = vpn.example.net:51820
AllowedIPs = 10.66.0.1/32, 192.168.50.0/24

فارورڈنگ اور ترجمہ سرور پر ہی ہونا چاہیے

سرور کو IP فارورڈنگ فعال، ٹنل سے آنے والی ٹریفک قبول کرنے والا فارورڈ اصول، اور اپنے LAN انٹرفیس کی طرف ترجمے کا اصول درکار ہے۔ یہی ترجمہ دفتر کے نیٹ ورک کے ہر ہوسٹ کو چھوئے بغیر ڈیزائن کو کام کرتا ہے۔ پھر جوابات LAN نے کبھی نہ سنا ہو ایسے پتے پر نہیں، سرور پر واپس آتے ہیں۔ اس کے بغیر ہر ہوسٹ کو ٹنل ذیلی نیٹ کے لیے راستہ اور اسے اجازت دینے والا فائر وال اصول چاہیے، جو کسی اور کے زیرِ انتظام نیٹ ورک پر شاذ و نادر ہی قابلِ قبول ہوتا ہے۔

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i wg0 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

ہاتھ سے شامل کیے گئے اصول ری بوٹ پر غائب ہو جاتے ہیں، اس لیے سرور کنفیگریشن کے hook کمانڈز سے انہیں انٹرفیس سے باندھیں۔ جو اصول مجموعہ اپنے انٹرفیس سے زیادہ زندہ رہے، اسی طرح مشین ایسے ٹنل کے لیے ٹریفک کا ترجمہ کرنے لگتی ہے جو اب موجود نہیں۔

جب LAN ہٹا اور اصول نہیں

دفتر کے ذیلی نیٹ کی دوبارہ نمبرنگ کرنے والا راؤٹر بدلنا اس ناکامی کی کلاسک شکل ہے۔ ٹنل چلتا رہتا ہے، ہینڈ شیک تازہ رہتا ہے، اور سرور کے پیچھے کچھ جواب نہیں دیتا، کیونکہ ترجمے کا اصول اب بھی پرانے پتے کا نام لیتا ہے۔ انسٹالر اسکرپٹس اکثر سرور کا LAN پتہ POSTROUTING اصول میں ڈال دیتی ہیں، اور دوبارہ نمبرنگ کے بعد وہ پتہ کسی انٹرفیس پر نہیں ہوتا۔ پھر پیکٹ ایسی منزل کی طرف دوبارہ لکھے جاتے ہیں جو جواب نہیں دے سکتی۔

iptables -t nat -n -L POSTROUTING
ip -br addr show

دونوں آؤٹ پٹ کا موازنہ کریں۔ انٹرفیس فہرست میں نہ دکھنے والا ترجمہ ہدف ہی بگ ہے، اور ایک بار دیکھ لینے کے بعد اسے ٹھیک کرنا ایک سطر کی تبدیلی ہے۔ اصول WireGuard کنفیگریشن میں نہیں بلکہ بنائے گئے unit میں ہو سکتا ہے، اس لیے ترمیم کے بعد وہ unit دوبارہ لوڈ کریں اور تصدیق کریں کہ اگلا بوٹ آپ کی تبدیلی دوبارہ نہیں لکھتا۔

NAT کے پیچھے دو سائٹس کو ملنے کی جگہ چاہیے

جب کوئی بھی فریق اندر آنے والے کنکشن قبول نہیں کرتا، تو عملی جواب عوامی پتہ اور دو WireGuard انٹرفیس والا چھوٹا ہوسٹ ہے۔ ہر سائٹ باہر کی طرف جڑتی ہے، درمیانی ہوسٹ ہر پیر کا LAN اپنے AllowedIPs، یعنی اپنی فہرست میں، درج کرتا ہے، اور فارورڈنگ دونوں ٹنلوں کے درمیان پیکٹ لے جاتی ہے۔ کسی بھی سائٹ کے فائر وال میں کچھ بدلنے کی ضرورت نہیں، اسی لیے یہ ڈیزائن آسانی سے پھیلتا ہے۔

سائٹس کے درمیان روٹنگ اصل ماخذ پتے رکھتی ہے اور اس طرح فی ہوسٹ لاگنگ کو بامعنی رکھتی ہے۔ جب دونوں LAN اوورلیپ ہوں تو درمیانی ہوسٹ پر ترجمہ آسان ہے، لیکن لاگز میں ماخذ کی شناخت کھونے کی قیمت پر۔ انتخاب سے پہلے طے کریں کہ کون سی خصوصیت اہم ہے۔

چار جانچوں سے تہوں کو الگ کریں

تین چیزیں بدل کر امید کرنے کے بجائے ہر تہہ کے لیے ایک جانچ کریں۔ پہلی ہر پیر کے لیے ہینڈ شیک کی عمر اور کاؤنٹر دکھاتی ہے۔ دوسری دکھاتی ہے کہ کلائنٹ واقعی اس منزل کو ٹنل میں روٹ کرتا ہے یا نہیں۔ تیسری اور چوتھی بتاتی ہیں کہ درخواست پہنچی یا نہیں اور پہنچنے کے بعد کسی پالیسی نے اسے گرا دیا یا نہیں۔

wg show
ip route get 192.168.50.20
tcpdump -ni wg0 icmp
iptables -vnL FORWARD --line-numbers

جو درخواست پہنچ کر کوئی جواب نہ لائے وہ جواب کے راستے یا LAN ہوسٹ کی طرف اشارہ کرتی ہے۔ جو درخواست کبھی نہ پہنچے وہ AllowedIPs یا کلائنٹ کے راستے کی طرف اشارہ کرتی ہے۔ ان دو نتائج کے لیے الگ اصلاح درکار ہے، اور کیپچر ہی انہیں الگ کرتا ہے۔