Hoe om een webwerf buite jou WireGuard-tonnel te roeteer

Om 'n gasheernaam uit te sluit, is iets wat 'n tonnel nie kan doen nie. 'n Roete kan egter een enkele adres verby die tonnel en deur die tuishek laat gaan, en dit is gewoonlik genoeg vir een webwerf. Die vangnet is dat alles stroomaf van die roete moet saamstem: die firewall moet die pakkie uitlaat, DNS moet die adres teruggee wat jy geroteer het, en die webwerf moet daardie adres bly gebruik. Wanneer enigeen van die drie wegdryf, hou die uitsondering op om te werk sonder om homself aan te kondig.

Lees die bestemmingsadres voordat jy aan die tonnel raak

Laai die webwerf een keer met die tonnel op, en kyk dan na die eweknie-adres waaraan die blaaier werklik gekoppel het. Op Linux, ss -tunp wys die afgeleë adres vir elke oop socket, en dig +short op dieselfde naam wys wat die oplosser teruggegee het. Hou albei nommers voor jou.

Die twee antwoorde stem dikwels nie ooreen nie, en die verskil is die hele probleem. Groot webwerwe plaas 'n inhoudsnetwerk voor hul oorsprong, so die adres wat jou oplosser nou teruggee, is dalk nie die een wat die blaaier 'n minuut gelede gebruik het nie. Roeteer wat jy op die socket gesien het, nie wat 'n ouer gids lys nie. As die antwoorde voortdurend oor streke roteer, is 'n adres-uitsondering die verkeerde instrument vir daardie spesifieke webwerf.

Voer die opsoek 'n tweede keer uit vanaf 'n ander netwerk, en teken die IPv6-antwoord saam met die IPv4-een op. 'n Tonnel wat albei families dra, het 'n uitsondering in albei nodig, anders val die blaaier stilweg terug na die IPv6-pad waaraan jy nooit geraak het nie. Sit die adresse en die datum iewers waar jy weer sal kyk.

Plaas een gasheerroete op die kliënt

Aanvaar dat die koppelvlak home-wg heet en die LAN-roeteerder op 192.168.1.1 sit. NetworkManager neem 'n roete waarvan die hek daardie roeteerder is en waarvan die voorvoegsellengte die volle 32 bis dek, en die kernel verkies dit omdat die langste voorvoegsel wen.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Die hek moet sonder die tonnel bereikbaar wees; om die volgende sprong na die tonneladres te wys, verydel die doel, want die pakkie sou weer die koppelvlak binnegaan wat jy probeer vermy. Nadat die verbinding weer opkom, ip route get vir die uitsondering moet die LAN-hek druk, en dieselfde opdrag vir 'n openbare oplosser moet steeds die tonneltoestel druk.

'n wg-quick-profiel het geen roetes-veld nie, so dieselfde uitsondering leef in 'n PostUp -reël wat die gasheerroete by die hoof-tabel voeg met die LAN-koppelvlak as sy toestel. Bring die koppelvlak af en op nadat jy geredigeer het, want 'n lopende koppelvlak lees nooit sy lêer weer nie. Die fwmark-reëls wat wg-quick installeer, stuur net sy eie ingekapselde pakkies, so gewone blaaierverkeer volg steeds die hoof-tabel en vind jou /32.

Die doodskakelaar is die volgende ding wat dit blokkeer

'n Firewall-beleid wat verkeer net op die tonnelkoppelvlak toelaat, sal die uitsondering laat val selfs wanneer die roete heeltemal reg is. Lees die reëls agter die skakelaar eerder as om die skakelaar te vertrou, want diegene wat 'n doodskakelaar implementeer, is gewoonlik op 'n koppelvlaknaam beperk.

Wat jy wil hê, is 'n smal toestemming vir die fisiese koppelvlak en daardie een bestemming, geplaas voor die drop, terwyl die verstekbeleid onaangeraak bly. Om die doodskakelaar heeltemal te pouseer bewys wel die punt, maar dit laat die masjien ook blootgestel vir solank jy vergeet om dit weer aan te skakel.

Toets die twee rigtings afsonderlik. 'n Versoek na die uitsonderingsadres moet slaag, terwyl 'n versoek na 'n onverwante webwerf steeds deur die tonnel uitgaan. As albei slaag maar die tweede een die tuisadres rapporteer, is die ordening van die firewall-reëls verkeerd eerder as die roete.

DNS bepaal watter adres die blaaier skakel

Wanneer die naam binne die tonnel opgelos word, kan die verskaffer se oplosser 'n ander adres antwoord as wat die plaaslike een gedoen het. Jou roete geld dan vir 'n adres wat die blaaier nooit kontak nie, en die bladsy laai deur die tonnel asof niks verander het nie. Hierdie fout lyk soos 'n stukkende uitsondering, selfs al is die roetertabel korrek.

Stuur daardie naam se navrae ook deur die plaaslike oplosser, of los name heeltemal oor en toets die adres direk. Om die adres te split terwyl DNS binne die tonnel bly, is die mees algemene halfvoltooide weergawe van hierdie opstelling, en dit is ook die moeilikste om raak te sien, want die webwerf bly werk, net nie soos jy bedoel het nie.

Dieselfde uitsondering op die roeteerder, een keer, vir elke toestel

Met die tonnel wat op die roeteerder loop, hoort die gasheerroete in die roeteerder se beleidsroeteringstabel en wys na die WAN-hek in plaas van die LAN-een. Elke toestel agter dit erf die uitsondering, wat saak maak vir 'n stroomkas of 'n werklaptop wie se netwerkinstellings jy nie kan verander nie.

Laat die tonnel as die verstekuitgang vir elke ander kliënt, en verifieer dan van 'n kliëntmasjien eerder as van die roeteerderkonsole. Laai die uitsonderingswebwerf en 'n tweede webwerf in dieselfde blaaiersessie en vergelyk die uitgangsadresse; as die tweede steeds die tonnel wys, doen die beleidstabel wat jy gevra het.

Skryf die adres, die datum en die rede in die roeteerder se notas neer. 'n Uitsondering wat om 'n adres gebou is wat later skuif, word 'n fout wat niemand oor 'n jaar kan verduidelik nie, en die oplossing lyk altyd soos 'n raaisel totdat iemand die ou nota vind.