स्पष्ट उद्देश्य वाला एक निजी टनल।

मार्ग परिभाषित करें

तय करें कि टनल केवल निजी सेवा ट्रैफ़िक ले जाता है या सभी इंटरनेट ट्रैफ़िक। अनुमत मार्गों को जानबूझकर कॉन्फ़िगर करें और IPv4 और IPv6 दोनों को ध्यान में रखें। स्प्लिट-टनल और फुल-टनल सेटअप में लीक और पहुँच संबंधी विचार अलग होते हैं।

प्रति डिवाइस एक कुंजी रखें

जहाँ संभव हो डिवाइस पर निजी कुंजियाँ जनरेट करें और उन्हें कभी प्रकाशित न करें। अलग पीयर पहचान का उपयोग करें ताकि खोया हुआ डिवाइस हर क्लाइंट को बदले बिना रद्द किया जा सके। सर्वर कॉन्फ़िगरेशन को संरक्षित अनुमतियों के साथ संग्रहीत करें।

फ़ॉरवर्डिंग और DNS कॉन्फ़िगर करें

फ़ॉरवर्डिंग और फ़ायरवॉल नियम जानबूझकर सेट करें। नाम रिज़ॉल्यूशन, MTU और रिटर्न पाथ की जाँच करें। यह मानने के बजाय कि सफल हैंडशेक का अर्थ है कि सारा ट्रैफ़िक इच्छित मार्ग से जाता है, क्लाइंट से प्रभावी सार्वजनिक पता और DNS व्यवहार का परीक्षण करें।

विश्वास के बदलाव को समझें

स्व-होस्टेड VPN स्थानीय नेटवर्क पर ट्रैफ़िक की सुरक्षा कर सकता है, लेकिन VPS और अपस्ट्रीम अभी भी मेटाडेटा और किसी भी अनएन्क्रिप्टेड ट्रैफ़िक को देखते हैं। यह ब्राउज़र सत्र को गुमनाम नहीं बनाता या आपकी पहुँच वाली सेवाओं की नीतियों को ओवरराइड नहीं करता।

स्पष्ट लिसनर का उपयोग करें और हैंडशेक का निरीक्षण करें

UDP 51820 एक सामान्य WireGuard कॉन्फ़िगरेशन विकल्प है, न कि अनिवार्य या गारंटीकृत होस्ट नीति। केवल चुना गया UDP पोर्ट खोलें और प्रशासन को अलग से प्रतिबंधित रखें। wg show कमांड निजी कुंजियाँ प्रकाशित करने की आवश्यकता के बिना पीयर हैंडशेक और स्थानांतरण जानकारी रिपोर्ट कर सकता है।

• हाल के हैंडशेक की पुष्टि करें
• इच्छित निजी सेवा का परीक्षण करें
• इंटरनेट और DNS मार्गों का परीक्षण केवल तब करें जब पूर्ण टनल का इरादा हो

wg show

आधिकारिक दस्तावेज़: WireGuard त्वरित शुरुआत

कीपअलाइव का उपयोग केवल तब करें जब नेटवर्क को उनकी आवश्यकता हो

NAT के पीछे का पीयर को इनबाउंड पैकेट के लिए मैपिंग बनाए रखने हेतु आवधिक keepalive ट्रैफ़िक की आवश्यकता हो सकती है। उपयुक्त सेटिंग नेटवर्क पर निर्भर करती है। कॉन्फ़िगरेशन को सुविचारित रखें; यदि लक्ष्य केवल एक निजी एप्लिकेशन तक पहुँच है तो पूर्ण-टनल रेसिपी की नकल न करें।

स्प्लिट टनलिंग या फ़ुल-टनल डिज़ाइन चुनें

वास्तविक लक्ष्य से शुरू करें। एक स्प्लिट टनल केवल एक निजी सबनेट या प्रशासनिक सेवा ले जा सकता है; पूर्ण टनल के लिए इंटरनेट फ़ॉरवर्डिंग, इग्रेस नियम और DNS योजना भी आवश्यक है। गैर-अतिव्यापी टनल पते चुनें और तय करें कि IPv6 को कैसे संभाला जाएगा। UDP51820 एक सामान्य पोर्ट है, अनिवार्य नहीं। चयनित होस्ट की नीति की पुष्टि करें और रूट या फ़ायरवॉल नियम बदलते समय कंसोल/व्यवस्थापक एक्सेस उपलब्ध रखें।

• प्रत्येक डिवाइस को एक अद्वितीय कुंजी युग्म और एक संकीर्ण पीयर पहचान दें।
• निजी कुंजियाँ उनके इच्छित डिवाइसों पर रखें और सार्वजनिक फ़ाइलों या QR साझाकरण से दूर रखें।
• सार्वजनिक एंडपॉइंट और क्लाइंट रोमिंग को नेटवर्क डिज़ाइन का हिस्सा मानें।

आधिकारिक दस्तावेज़: WireGuard त्वरित शुरुआत

इंटरनेट रूटिंग जोड़ने से पहले छोटा टनल शुरू करें

समर्थित OS इंस्टॉलेशन का पालन करें और प्रतिबंधात्मक फ़ाइल अनुमतियों के साथ कुंजियाँ जनरेट करें। सर्वर इंटरफ़ेस, एक पीयर और चुना गया UDP लिसनर कॉन्फ़िगर करें। सर्वर-साइड पीयर के पास सामान्यतः AllowedIPs में अपना स्वयं का टनल पता होना चाहिए, न कि कई क्लाइंट्स को सौंपा गया अतिव्यापी कैच-ऑल। टनल पते तक पहुँच से शुरू करें, फिर स्वीकृत फ़ॉरवर्डिंग और गंतव्य मार्ग जोड़ें। सफल हैंडशेक पीयर संपर्क सिद्ध करता है, यह नहीं कि DNS या इंटरनेट निर्गम सही है।

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

आधिकारिक दस्तावेज़: WireGuard इंटरफ़ेस और पीयर कॉन्फ़िगरेशन

अपेक्षित पथ और एक निषिद्ध पथ का परीक्षण करें

क्लाइंट से, हाल के हैंडशेक और अनुमत निजी सेवा की पुष्टि करें। ऐसे गंतव्य का प्रयास करें जिसे अस्वीकार किया जाना चाहिए। यदि पूर्ण टनल का उपयोग कर रहे हैं, तो उस क्लाइंट से प्रभावी सार्वजनिक मार्ग, DNS रिज़ॉल्वर और IPv6 व्यवहार जाँचें; स्प्लिट-टनल ट्रैफ़िक को इच्छित स्थानीय पथ बनाए रखना चाहिए। क्लाइंट नेटवर्क परिवर्तन के बाद दोहराएँ। NAT keepalive का उपयोग केवल तब करें जब पीयर के नेटवर्क को इसकी आवश्यकता हो, और अंतराल को प्रलेखित डिज़ाइन के अनुरूप रखें।

• कोई हैंडशेक नहीं: एंडपॉइंट DNS, UDP पहुँच, कुंजियाँ और पीयर मैपिंग का निरीक्षण करें।
• हैंडशेक हो रहा है लेकिन सेवा नहीं: AllowedIPs, फ़ायरवॉल, फ़ॉरवर्डिंग और रिटर्न रूट की जाँच करें।
• कुछ साइटें अटक जाती हैं: कोई यादृच्छिक स्थायी मान लागू करने से पहले पथ MTU की जाँच करें।

निरसन और रीबूट व्यवहार को दोहराने योग्य बनाएँ

खोए हुए डिवाइस की पीयर कुंजी हटाएँ और पुष्टि करें कि वह अब इच्छित पहुँच स्थापित नहीं कर सकता। एन्क्रिप्टेड कॉन्फ़िगरेशन बैकअप और इसकी सूची रखें कि कौन-सी सार्वजनिक कुंजी किस डिवाइस की है। परीक्षण करें कि सामान्य रीबूट के बाद इंटरफ़ेस और आवश्यक रूटिंग नियम लौटते हैं या नहीं। VPN विश्वास को VPS और उसके अपस्ट्रीम की ओर स्थानांतरित करता है; यह एप्लिकेशन पहचानकर्ताओं, खाता कुकीज़ या अंतिम गंतव्य तक HTTPS की आवश्यकता को नहीं हटाता।

आधिकारिक दस्तावेज़: WireGuard wg-quick मैनुअल