WIUNIX ACADEMY
آموزش نصب WireGuard و اتصال دو شبکه در اوبونتو و دبیان
صفحهٔ 7 از 8؛ مراحل قبلی و پیش‌نیازها را پیش از ادامه مرور کن.
آموزش متناسب با محیط تو
کجا اجرا می‌کنی؟
سیستم‌عامل و نسخه را انتخاب کن تا مراحل، دستورها و راه‌حل‌ها برای همان محیط نمایش داده شوند.
آموزش متناسب با مقادیر تو
تنظیمات این آموزش
مقادیر نمونه را برای محیط خودت تنظیم کن؛ متن و دستورهای مرتبط با هم تغییر می‌کنند. رمز، کلید خصوصی و توکن وارد نکن. مقادیر فقط در همین زبانه نگهداری می‌شوند و به سرور یا لینک اشتراک‌گذاری فرستاده نمی‌شوند. پیش از اجرا، DNS، گواهی‌ها و سیاست شبکهٔ واقعی را بررسی کن.
آی‌پی، دامنه یا پورت مثال‌ها با محیط تو فرق دارد؟ دکمهٔ زیر را باز کن، مقادیر را تغییر بده و «اعمال در آموزش» را بزن؛ سپس دستورهای به‌روز‌شده را کپی کن.
تنظیم مقادیر برای محیط من24 مقدار قابل‌تغییر
مشاهدهٔ MTU و اصلاح پس از اندازه‌گیری
روی A و B؛ فقط اگر آزمون اندازهٔ کوچک‌تر را لازم کرد، دو فایل امن اصلاح شوند. مقدار1380 در پنل بعد صرفاً نمونه است، نه پیش‌فرض عمومی.
ip link show wg0
sudo nano /etc/wireguard/wg0.conf
تنظیم اختیاری در Interface
فقط اگر1380 برای مسیر شما با آزمون مناسب بود، این خط در بخش Interface موجود قرار گیرد.
MTU = 1380
راه‌اندازی مجدد برنامه‌ریزی‌شدهٔ تونل
از مدیریت مستقل و در زمان مجاز قطعی روی A و B؛ سپس دست‌دهی و دو دریافت‌کننده بررسی شوند. اگر نام DNS استفاده شد، این روش آن را پیوسته دنبال نمی‌کند و restart کنترل‌شده نام را دوباره حل می‌کند.
sudo systemctl restart wg-quick@wg0.service
sudo wg show wg0 latest-handshakes
قدم بعدی
پشتیبان محافظت‌شده و بررسی آن
پس از آزمون داده در هر دو سمت؛ آرشیو کلید خصوصی دارد و فقط با دسترسی محدود و در پشتیبان برون‌میزبانی رمزگذاری‌شدهٔ مصوب نگهداری شود، نه Git یا لینک عمومی. مسیرهای پایدار روتر جدا با ابزار مالک صادر شوند. خوانایی و برابری بایت به‌تنهایی تمرین بازیابی نیست.
sudo bash -eu <<'BACKUP'
umask 077
install -d -m 0700 /root/academy-backups
b=$(mktemp -d /root/academy-backups/wireguard-XXXXXXXX)
tar -C / -cpf "$b/config.tar" etc/wireguard etc/sysctl.d/70-academy-wireguard.conf etc/systemd/system/academy-wg-filter.service etc/systemd/system/wg-quick@wg0.service.d/20-academy-filter.conf
tar -tf "$b/config.tar" >/dev/null
tar -C / -df "$b/config.tar"
(cd "$b" && sha256sum config.tar > config.tar.sha256)
printf 'Protected backup: %s\n' "$b"
BACKUP
آرشیو خوانا و منطبق با checksum، بدون نمایش راز ساخته شده است.
قدم بعدی
تمرین استخراج پیش از اتکا به بازیابی
روی ماشین بازیابی بدون اتصال به LAN/WAN تولید و با ابزار و کرنل سازگار، آرشیو از مسیر امن منتقل و نام دقیق پوشه جایگزین شود. استخراج در ریشهٔ تازهٔ موقت است، نه دروازهٔ فعال. هویت عمومی با سابقهٔ مستقل تطبیق داده شود. کلید کپی‌شده تا زمان فعال‌بودن اصل در شبکهٔ متصل راه‌اندازی نشود. پیش از بازنشستگی مخرب، رابط، مسیرها و دریافت دو LAN با ورودی بازیابی‌شده در توپولوژی کاملاً ایزوله تمرین شوند؛ هر شکست، ادامه را متوقف می‌کند. این پنل فقط استخراج و هویت را می‌سنجد، نه بازیابی کامل شبکه.
sudo bash -eu <<'RESTORE'
umask 077
backup=/root/academy-backups/wireguard-REPLACE_EXACT_DIRECTORY
cd "$backup"
sha256sum -c config.tar.sha256
restore=$(mktemp -d /root/wireguard-restore-XXXXXXXX)
tar -xpf config.tar -C "$restore"
for p in etc/wireguard/private.key etc/wireguard/wg0.conf etc/wireguard/academy-filter.nft; do
cmp "$restore/$p" <(tar -xOf config.tar "$p")
done
test "$(stat -c %a "$restore/etc/wireguard/private.key")" = 600
wg pubkey < "$restore/etc/wireguard/private.key" > "$restore/public.check"
cmp "$restore/public.check" "$restore/etc/wireguard/public.key"
printf 'Restored protected tree: %s\n' "$restore"
RESTORE
checksum، بایت فایل‌ها، مجوز کلید خصوصی و هویت عمومی درست‌اند؛ شبکه‌ای فعال نشده است.
بررسی ماندگاری در زمان نگهداری
پس از ذخیرهٔ مسیرها با ابزار بومی روتر و آماده‌بودن کنسول، دستگاه‌ها در زمان نگهداری یکی‌یکی راه‌اندازی دوباره شوند. مدیریت مستقل، فایروال و تونل، دست‌دهی تازه و دادهٔ دقیق هر دو LAN تکرار شوند. enable کردن سرویس آزمون reboot نیست. دریافت‌کننده‌ها با Ctrl+C در ترمینال خود متوقف شوند؛ پوشهٔ نشانگر برای پاک‌سازی عادی بعدی باقی بماند.