Bir veb-saytı WireGuard tunelinizdən kənara necə yönləndirmək olar

Host adını istisna etmək tunelin bacara bilmədiyi bir şeydir. Amma marşrut bir ünvanı tuneldən keçirib ev şlüzündən çıxara bilər və bu, adətən, bir sayt üçün kifayətdir. İncəlik ondadır ki, marşrutdan sonrakı hər şey razılaşmalıdır: firewall paketi buraxmalı, DNS yönləndirdiyiniz ünvanı qaytarmalı və sayt həmin ünvandan istifadə etməyə davam etməlidir. Üçündən biri sürüşdükdə istisna özünü elan etmədən işləməyi dayandırır.

Tunelə toxunmazdan əvvəl təyinat ünvanını oxuyun

Saytı tunel açıq vəziyyətdə bir dəfə yükləyin, sonra brauzerin həqiqətən qoşulduğu peer ünvanına baxın. Linuxda, ss -tunp hər açıq soket üçün uzaq ünvanı göstərir və dig +short eyni ad üzərində resolverin nə qaytardığını göstərir. Hər iki rəqəmi qarşınızda saxlayın.

İki cavab tez-tez uyğunsuz olur və bu uyğunsuzluq bütün problemdir. Böyük saytlar öz mənbələrinin qarşısına məzmun şəbəkəsi qoyur, ona görə resolverin indi qaytardığı ünvan brauzerin bir dəqiqə əvvəl istifadə etdiyi ünvan olmaya bilər. Soketdə müşahidə etdiyinizi yönləndirin, köhnə bələdçinin sadaladığını deyil. Cavablar regionlar arasında fırlanmağa davam edirsə, ünvan istisnası o konkret sayt üçün səhv alətdir.

Axtarışı başqa şəbəkədən ikinci dəfə işə salın və IPv6 cavabını IPv4 cavabı ilə birlikdə qeyd edin. Hər iki ailəni daşıyan tunel hər ikisində istisna tələb edir, əks halda brauzer səssizcə heç toxunmadığınız IPv6 yoluna düşür. Ünvanları və tarixi yenidən baxacağınız bir yerə yazın.

Müştəriyə bir host marşrutu qoyun

Fərz edin ki, interfeys home-wg adlanır və LAN marşrutlaşdırıcısı 192.168.1.1 ünvanındadır. NetworkManager şlüzü həmin marşrutlaşdırıcı olan və prefiks uzunluğu tam 32 biti əhatə edən marşrut götürür və kernel onu üstün tutur, çünki ən uzun prefiks qazanır.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Şlüz tunel olmadan əlçatan olmalıdır; növbəti atlamanı tunel ünvanına yönəltmək məqsədi puç edir, çünki paket qaçmaq istədiyiniz interfeysə yenidən girərdi. Bağlantı yenidən qalxdıqdan sonra, ip route get istisna üçün LAN şlüzünü çap etməlidir və ictimai resolver üçün eyni əmr hələ də tunel cihazını çap etməlidir.

wg-quick profilində marşrutlar sahəsi yoxdur, ona görə eyni istisna host marşrutunu əsas cədvələ LAN interfeysi cihaz olmaqla əlavə edən PostUp sətrində yaşayır. Redaktə etdikdən sonra interfeysi aşağı və yuxarı qaldırın, çünki işləyən interfeys heç vaxt faylını yenidən oxumur. wg-quick-in quraşdırdığı fwmark qaydaları yalnız öz inkapsullaşdırılmış paketlərini yönləndirir, ona görə adi brauzer trafiki yenə əsas cədvələ uyğun gedir və /32-nizi tapır.

Kill switch onu bloklayan növbəti şeydir

Yalnız tunel interfeysində trafikə icazə verən firewall siyasəti marşrut tam düzgün olsa belə istisnanı düşürəcək. Açarın arxasındakı qaydaları oxuyun, açara güvənməyin, çünki kill switch tətbiq edən qaydalar adətən interfeys adı ilə məhdudlaşır.

İstədiyiniz fiziki interfeys və o bir təyinat üçün dar icazədir, drop-dan əvvəl yerləşdirilmiş, standart siyasət isə toxunulmaz qalır. Kill switch-i tamamilə fasiləyə qoymaq fikri sübut edir, amma maşını yenidən yandırmağı unutduğunuz müddət boyu açıq qoyur.

İki istiqaməti ayrı-ayrılıqda yoxlayın. İstisna ünvanına sorğu uğur qazanmalı, əlaqəsiz sayta sorğu isə hələ də tuneldən çıxmalıdır. Əgər hər ikisi uğur qazanır, lakin ikincisi ev ünvanını bildirirsə, firewall qaydalarının sırası səhvdir, marşrut deyil.

DNS brauzerin hansı ünvana zəng edəcəyini müəyyən edir

Ad tunelin içində həll olunduqda, provayderin resolveri yerli olanın verdiyindən fərqli ünvanla cavab verə bilər. Sonra marşrutunuz brauzerin heç vaxt əlaqə saxlamadığı ünvana tətbiq olunur və səhifə heç nə dəyişməmiş kimi tuneldən keçərək yüklənir. Bu nasazlıq marşrutlaşdırma cədvəli düzgün olsa da, pozulmuş istisna kimi görünür.

Həmin adın sorğularını yerli resolverdən də keçirin, ya da adları tamamilə atlayıb ünvanı birbaşa sınayın. Ünvanı bölüb DNS-i tunelin içində saxlamaq bu quraşdırmanın ən çox rast gəlinən yarımçıq versiyasıdır və həm də ən çətin seziləndir, çünki sayt işləməyə davam edir, sadəcə istədiyiniz kimi deyil.

Eyni istisna marşrutlaşdırıcıda, bir dəfə, hər cihaz üçün

Tunel marşrutlaşdırıcıda işləyəndə host marşrutu marşrutlaşdırıcının siyasət marşrutlaşdırma cədvəlinə aiddir və LAN şlüzünün əvəzinə WAN şlüzünə işarə edir. Onun arxasındakı hər cihaz istisnanı miras alır, bu da yayım qutusu və ya şəbəkə ayarlarını dəyişə bilmədiyiniz iş noutbuku üçün vacibdir.

Tuneli hər digər müştəri üçün standart çıxış kimi saxlayın, sonra marşrutlaşdırıcı konsolundan deyil, müştəri maşınından yoxlayın. İstisna saytını və ikinci saytı eyni brauzer sessiyasında yükləyin və çıxış ünvanlarını müqayisə edin; ikincisi hələ də tuneli göstərirsə, siyasət cədvəli istədiyinizi edir.

Ünvanı, tarixi və səbəbi marşrutlaşdırıcının qeydlərinə yazın. Sonradan yer dəyişən bir ünvan ətrafında qurulmuş istisna bir il sonra heç kimin izah edə bilməyəcəyi nasazlığa çevrilir və düzəliş kimsə köhnə qeydi tapana qədər həmişə sirr kimi görünür.