Scope
This original IROSG guide covers طراحی و عیب‌یابی تونل WireGuard site-to-site using the cited primary documentation.
Core model
WireGuard routing و cryptokey routing را نزدیک می‌کند. AllowedIPs هم برای انتخاب peer در ارسال و هم برای پذیرش source در دریافت نقش دارد. اما route سیستم، forwarding و firewall هنوز باید درست باشند.
Practical workflow
wg show، ip route، ip rule و tcpdump را از هر دو سمت هم‌زمان استفاده کنید. برای MTU از ping با DF و tracepath کمک بگیرید. handshake زمان آخرین تبادل کلید را می‌گوید، نه سلامت همهٔ subnetها را.
Failure modes
NAT بی‌دلیل، overlap subnet و route برگشت گمشده سه خطای پرتکرارند. تغییر هم‌زمان MTU، firewall و AllowedIPs evidence را خراب می‌کند.
Lab
دو namespace یا دو VM بسازید، تونل را بالا بیاورید و دو LAN پشت آن‌ها قرار دهید. ابتدا route برگشت را عمداً حذف کنید، سپس با capture نشان دهید packet کجا متوقف می‌شود.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
