WIUNIX ACADEMY
آموزش نصب WireGuard و اتصال دو شبکه در اوبونتو و دبیان
صفحهٔ 4 از 8؛ مراحل قبلی و پیش‌نیازها را پیش از ادامه مرور کن.
آموزش متناسب با محیط تو
کجا اجرا می‌کنی؟
سیستم‌عامل و نسخه را انتخاب کن تا مراحل، دستورها و راه‌حل‌ها برای همان محیط نمایش داده شوند.
آموزش متناسب با مقادیر تو
تنظیمات این آموزش
مقادیر نمونه را برای محیط خودت تنظیم کن؛ متن و دستورهای مرتبط با هم تغییر می‌کنند. رمز، کلید خصوصی و توکن وارد نکن. مقادیر فقط در همین زبانه نگهداری می‌شوند و به سرور یا لینک اشتراک‌گذاری فرستاده نمی‌شوند. پیش از اجرا، DNS، گواهی‌ها و سیاست شبکهٔ واقعی را بررسی کن.
آی‌پی، دامنه یا پورت مثال‌ها با محیط تو فرق دارد؟ دکمهٔ زیر را باز کن، مقادیر را تغییر بده و «اعمال در آموزش» را بزن؛ سپس دستورهای به‌روز‌شده را کپی کن.
تنظیم مقادیر برای محیط من24 مقدار قابل‌تغییر
قدم بعدی
سرویس مستقل برای همین جدول
روی دو دروازه، سرویس oneshot فقط جدول academy_wg را اداره می‌کند. سرویس عمومی nftables و UFW/firewalld وارد این سناریوی تازه نمی‌شوند. توقف آن حفاظت را برمی‌دارد؛ restart بی‌برنامه مجاز نیست. اصلاح بعدی قوانین با برنامه و توقف VPN انجام شود.
sudo nano /etc/systemd/system/academy-wg-filter.service
فایل تازه برای محتوای سرویس آماده است.
محتوای سرویس فایروال
محتوای فایل در A و B؛ بارگذاری nft به‌صورت تراکنشی است.
[Unit]
Description=Academy dedicated WireGuard gateway filter
Before=wg-quick@wg0.service
[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/sbin/nft -f /etc/wireguard/academy-filter.nft
ExecStop=/usr/sbin/nft delete table inet academy_wg
[Install]
WantedBy=multi-user.target
قدم بعدی
اعتبارسنجی، فعال‌سازی و امتحان SSH دوم
کنسول آماده و SSH فعلی باز باشد. وابستگی، شروع موفق فایروال را پیش از wg-quick الزامی می‌کند. پس از اعمال، قوانین دیده و نشست تازهٔ SSH از مبدأ مجاز برقرار شود. در صورت شکست، پنل کنسول استفاده شود، نه پاک‌کردن کل فایروال.
sudo install -d -m 0755 /etc/systemd/system/wg-quick@wg0.service.d
sudo tee /etc/systemd/system/wg-quick@wg0.service.d/20-academy-filter.conf >/dev/null <<'UNIT'
[Unit]
Requires=academy-wg-filter.service
After=academy-wg-filter.service
UNIT
sudo nft -c -f /etc/wireguard/academy-filter.nft
sudo systemd-analyze verify /etc/systemd/system/academy-wg-filter.service
sudo systemctl daemon-reload
sudo systemctl enable --now academy-wg-filter.service
sudo nft list table inet academy_wg
فایروال فعال، قوانین درست و نشست دوم SSH برقرار است.
نشست دوم SSH از ایستگاه مدیریت
از ایستگاه مدیریت در ترمینال تازه، نام کاربر و IP عمومی و پورت با مقدار واقعی جایگزین شوند. نشست قبلی و کنسول باز بمانند.
ssh -p 22 -l REPLACE_ADMIN 198.51.100.10
ssh -p 22 -l REPLACE_ADMIN 203.0.113.20
بازیابی مدیریت فقط از کنسول
فقط اگر فایروال تازه مدیریت را مسدود کرد، از کنسول مستقل اجرا و مبدأ یا پورت پیش از تلاش دوباره اصلاح شود.
sudo systemctl stop academy-wg-filter.service
قدم بعدی
راه‌اندازی رابط تونل در دو سمت
پس از تأیید فایروال و SSH دوم در دو سمت اجرا شود. wg-quick معمولاً MTU را از مسیر مقصد انتخاب می‌کند. active بودن سرویس فقط تنظیم رابط را ثابت می‌کند؛ دست‌دهی و دادهٔ مقصد باید جدا آزمایش شوند.
sudo systemctl enable --now wg-quick@wg0.service
systemctl is-active wg-quick@wg0.service
ip -br address show wg0
sudo wg show wg0 public-key
sudo wg show wg0 endpoints
sudo wg show wg0 allowed-ips
آدرس تونل و شبکهٔ همتا درست است و مسیر پیش‌فرض عوض نشده.