Sut i lwybro un wefan y tu allan i'ch twnnel WireGuard

Mae eithrio enw gwesteiwr yn rhywbeth na all twnnel ei wneud. Gall llwybr, fodd bynnag, anfon un cyfeiriad heibio'r twnnel ac allan drwy giât y cartref, ac mae hynny fel arfer yn ddigon ar gyfer un safle. Yr hyn sy'n anodd yw bod yn rhaid i bopeth i lawr yr afon o'r llwybr gytuno: rhaid i'r mur tân ollwng y pecyn, rhaid i DNS ddychwelyd y cyfeiriad y gwnaethoch ei lwybro, a rhaid i'r safle barhau i ddefnyddio'r cyfeiriad hwnnw. Pan fydd unrhyw un o'r tri yn symud, mae'r eithriad yn peidio â gweithio heb gyhoeddi ei hun.

Darllenwch y cyfeiriad cyrchfan cyn i chi gyffwrdd â'r twnnel

Llwythwch y safle unwaith gyda'r twnnel i fyny, yna edrychwch ar gyfeiriad y cymar y cysylltodd y porwr ag ef mewn gwirionedd. Ar Linux, ss -tunp mae'n rhestru'r cyfeiriad pell ar gyfer pob soced agored, ac dig +short ar yr un enw mae'n dangos beth a ddychwelodd y datryswr. Cadwch y ddau rif o'ch blaen.

Mae'r ddau ateb yn anghytuno'n aml, a'r anghytundeb hwnnw yw'r broblem i gyd. Mae safleoedd mawr yn rhoi rhwydwaith cynnwys o flaen eu tarddiad, felly efallai nad y cyfeiriad y mae'r datryswr yn ei ddychwelyd nawr yw'r un a ddefnyddiodd y porwr funud yn ôl. Llwybrwch yr hyn a welsant ar y soced, nid yr hyn a restrir mewn canllaw hŷn. Os yw'r atebion yn dal i gylchdroi ar draws rhanbarthau, eithriad cyfeiriad yw'r offeryn anghywir ar gyfer y safle penodol hwnnw.

Rhedwch yr ymholiad eilwaith o rwydwaith arall, a chofnodwch ateb IPv6 ynghyd â'r un IPv4. Mae twnnel sy'n cario'r ddau deulu angen eithriad yn y ddau, fel arall mae'r porwr yn cwympo'n dawel yn ôl i lwybr IPv6 na chyffyrddoch ag ef erioed. Rhowch y cyfeiriadau a'r dyddiad yn rhywle y byddwch yn edrych eto.

Rhowch un llwybr gwesteiwr ar y cleient

Gadewch i ni dybio mai home-wg yw enw'r rhyngwyneb ac mai ar 192.168.1.1 y mae llwybrydd y LAN. Mae NetworkManager yn cymryd llwybr y giât ohono yw'r llwybrydd hwnnw ac y mae hyd ei ragddodiad yn cwmpasu'r 32 bit cyfan, ac mae'r cnewyllyn yn ei ffafrio oherwydd mai'r rhagddodiad hiraf sy'n ennill.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Rhaid i'r giât fod yn gyrraeddadwy heb y twnnel; mae anelu'r naid nesaf at gyfeiriad y twnnel yn gwneud y diben yn ofer, oherwydd byddai'r pecyn yn ailymuno â'r rhyngwyneb yr ydych yn ceisio ei osgoi. Ar ôl i'r cysylltiad godi eto, ip route get ar gyfer yr eithriad dylai argraffu giât y LAN, a dylai'r un gorchymyn ar gyfer datryswr cyhoeddus argraffu'r ddyfais twnnel o hyd.

Nid oes gan broffil wg-quick faes llwybrau, felly mae'r un eithriad yn byw mewn llinell PostUp sy'n ychwanegu'r llwybr gwesteiwr at y brif dabl gyda'r rhyngwyneb LAN fel ei ddyfais. Gostyngwch a chodwch y rhyngwyneb ar ôl golygu, oherwydd nid yw rhyngwyneb sy'n rhedeg byth yn ail-ddarllen ei ffeil. Dim ond ei becynnau caeëdig ei hun y mae'r rheolau fwmark y mae wg-quick yn eu gosod yn eu llywio, felly mae traffig porwr cyffredin yn dal i ddilyn y brif dabl ac yn dod o hyd i'ch /32.

Y switsh brys yw'r peth nesaf sy'n rhwystro hyn

Bydd polisi mur tân sy'n derbyn traffig ar ryngwyneb y twnnel yn unig yn gollwng yr eithriad hyd yn oed pan fo'r llwybr yn hollol gywir. Darllenwch y rheolau y tu ôl i'r switsh yn lle ymddiried yn y switsh, oherwydd mae'r rhai sy'n gweithredu switsh brys fel arfer wedi'u cwmpasu i enw rhyngwyneb.

Yr hyn yr ydych ei eisiau yw caniatâd cul ar gyfer y rhyngwyneb ffisegol a'r un gyrchfan honno, wedi'i osod o flaen y gollwng, tra bod y polisi diofyn yn aros heb ei gyffwrdd. Mae oedi'r switsh brys yn llwyr yn profi'r pwynt, ond mae hefyd yn gadael y peiriant yn agored cyhyd ag y byddwch yn anghofio ei ailgynnau.

Profwch y ddau gyfeiriad ar wahân. Dylai cais i gyfeiriad yr eithriad lwyddo tra bod cais i safle annibynnol yn dal i adael drwy'r twnnel. Os bydd y ddau yn llwyddo ond bod yr ail yn adrodd cyfeiriad y cartref, trefn y rheolau mur tân sydd o'i le, nid y llwybr.

DNS sy'n penderfynu pa gyfeiriad y mae'r porwr yn ei ddeialu

Pan fydd yr enw'n datrys y tu mewn i'r twnnel, gall datryswr y darparwr ateb â chyfeiriad gwahanol i'r un a roddwyd gan yr un lleol. Yna mae eich llwybr yn berthnasol i gyfeiriad na fydd y porwr byth yn cysylltu ag ef, ac mae'r dudalen yn llwytho drwy'r twnnel fel pe na bai dim wedi newid. Mae'r methiant hwn yn edrych fel eithriad wedi torri hyd yn oed pan fo'r dabl llwybro yn gywir.

Anfonwch ymholiadau'r enw hwnnw drwy'r datryswr lleol hefyd, neu hepgorwch enwau'n gyfan gwbl a phrofwch y cyfeiriad yn uniongyrchol. Rhannu'r cyfeiriad tra bod DNS yn aros y tu mewn i'r twnnel yw'r fersiwn hanner-gorffenedig mwyaf cyffredin o'r gosodiad hwn, a hefyd yr un anoddaf i'w sylwi, oherwydd mae'r safle yn parhau i weithio, dim ond nid fel yr oeddech yn bwriadu.

Yr un eithriad ar y llwybrydd, unwaith, ar gyfer pob dyfais

Gyda'r twnnel yn rhedeg ar y llwybrydd, mae'r llwybr gwesteiwr yn perthyn i dabl llwybro polisi'r llwybrydd ac yn pwyntio at giât y WAN yn lle un y LAN. Mae pob dyfais y tu ôl iddo yn etifeddu'r eithriad, sy'n bwysig ar gyfer blwch ffrydio neu liniadur gwaith na allwch newid ei osodiadau rhwydwaith.

Gadewch y twnnel fel yr allanfa ddiofyn ar gyfer pob cleient arall, yna gwiriwch o beiriant cleient yn hytrach nag o gonsol y llwybrydd. Llwythwch safle'r eithriad ac ail safle yn yr un sesiwn porwr a chymharwch y cyfeiriadau allanfa; os yw'r ail yn dal i ddangos y twnnel, mae'r dabl polisi yn gwneud yr hyn a ofynnoch.

Ysgrifennwch y cyfeiriad, y dyddiad a'r rheswm yn nodiadau'r llwybrydd. Mae eithriad a adeiladwyd o amgylch cyfeiriad sy'n symud yn ddiweddarach yn troi'n fai na all neb ei egluro ymhen blwyddyn, ac mae'r atgyweiriad bob amser yn edrych fel dirgelwch nes i rywun ddod o hyd i'r hen nodyn.