Kuidas suunata üks veebileht väljapoole WireGuardi tunnelit

Hostinime välistamine on midagi, mida tunnel teha ei suuda. Marsruut võib aga ühe aadressi suunata tunnelist mööda ja koduväravast välja, ja ühe saidi jaoks on sellest tavaliselt piisav. Konks on selles, et kõik marsruudist allavoolu peab kokku sobima: tulemüür peab paketi välja laskma, DNS peab tagastama aadressi, mille te suunasite, ja sait peab seda aadressi edasi kasutama. Kui ükskõik milline neist kolmest triivib, lakkab erand töötamast, ilma et see end teada annaks.

Lugege sihtaadressi enne, kui tunnelit puutute

Laadige sait üks kord tunneliga üleval ja vaadake siis vastaspoole aadressi, millega brauser tegelikult ühendus. Linuxis ss -tunp loetleb iga avatud soketi kaugema aadressi ja dig +short sama nime puhul näitab, mida resolver tagastas. Hoidke mõlemad numbrid silme ees.

Kaks vastust ei lange sageli kokku ja just see lahknevus on kogu probleem. Suured saidid panevad oma päritolu ette sisuvõrgu, nii et aadress, mille resolver praegu tagastab, ei pruugi olla see, mida brauser kasutas minut tagasi. Suunake seda, mida te soketil nägite, mitte seda, mida loetleb vanem juhend. Kui vastused pöörlevad jätkuvalt piirkondade vahel, on aadressierand selle konkreetse saidi jaoks vale tööriist.

Käivitage otsing teist korda teisest võrgust ja kirjutage IPv6 vastus üles koos IPv4 omaga. Tunnel, mis kannab mõlemat perekonda, vajab erandit mõlemas, muidu langeb brauser vaikselt tagasi IPv6 teele, mida te pole kunagi puudutanud. Pange aadressid ja kuupäev kohta, kuhu te hiljem uuesti vaatate.

Pange kliendile üks hosti marsruut

Oletame, et liides kannab nime home-wg ja LAN-i ruuter asub aadressil 192.168.1.1. NetworkManager võtab marsruudi, mille lüüs on see ruuter ja mille prefiksi pikkus katab kõik 32 bitti, ning kernel eelistab seda, sest pikim prefiks võidab.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Lüüs peab olema kättesaadav ilma tunnelita; järgmise hüppe suunamine tunneli aadressile rikub mõtte, sest pakett siseneks uuesti liidesesse, mida te püüate vältida. Kui ühendus on uuesti üleval, ip route get peaks erandi puhul välja printima LAN-i lüüsi, ja sama käsk avaliku resolveri puhul peaks endiselt välja printima tunneli seadme.

wg-quick profiilil pole marsruutide välja, seega elab sama erand real PostUp mis lisab hosti marsruudi põhitabelisse, kus LAN-i liides on selle seadeks. Võtke liides pärast muutmist alla ja uuesti üles, sest töötav liides ei loe oma faili kunagi uuesti. fwmark reeglid, mille wg-quick paigaldab, juhivad ainult tema enda kapseldatud pakette, nii et tavaline brauseriliiklus järgib endiselt põhitabelit ja leiab teie /32.

Kill switch on järgmine asi, mis seda blokeerib

Tulemüüri poliitika, mis lubab liiklust ainult tunneli liidesel, viskab erandi kõrvale ka siis, kui marsruut on täpselt õige. Lugege lüliti taga olevaid reegleid, selle asemel et lülitit usaldada, sest kill switchi rakendavad reeglid on tavaliselt piiratud liidese nimega.

Te soovite kitsast luba füüsilise liidese ja selle ühe sihtkoha jaoks, mis on paigutatud enne langetamist, samal ajal kui vaikepoliitika jääb puutumata. Kill switchi täielik peatamine tõestab pointi, kuid jätab masina ka katmata seni, kuni unustate selle uuesti sisse lülitada.

Testige kahte suunda eraldi. Päring erandi aadressile peaks õnnestuma, samal ajal kui päring mitteseotud saidile väljub endiselt tunneli kaudu. Kui mõlemad õnnestuvad, aga teine teatab kodu aadressi, on vale tulemüüri reeglite järjekord, mitte marsruut.

DNS otsustab, millisele aadressile brauser helistab

Kui nimi lahendatakse tunneli sees, võib teenusepakkuja resolver vastata teistsuguse aadressiga kui kohalik. Teie marsruut kehtib siis aadressile, millega brauser kunagi ühendust ei võta, ja leht laaditakse läbi tunneli, nagu poleks midagi muutunud. See rike näeb välja nagu katkine erand, isegi kui marsruutimistabel on õige.

Saatke selle nime päringud ka kohaliku resolveri kaudu või jätke nimed üldse vahele ja testige aadressi otse. Aadressi poolitamine, jättes DNS-i tunnelisse, on selle seadistuse kõige levinum pooleliolev versioon, ja seda on ka kõige raskem märgata, sest sait töötab edasi, lihtsalt mitte nii, nagu te kavatsesite.

Sama erand ruuteril, üks kord, iga seadme jaoks

Kui tunnel töötab ruuteril, kuulub hosti marsruut ruuteri poliitilise marsruutimise tabelisse ja osutab LAN-i lüüsi asemel WAN-i lüüsile. Iga seade selle taga pärib erandi, mis on oluline voogedastusboksi või tööläpaka jaoks, mille võrguseadeid te muuta ei saa.

Jätke tunnel vaikeväljapääsuks kõigile teistele klientidele, seejärel kontrollige kliendi masinast, mitte ruuteri konsoolist. Laadige erandi sait ja teine sait samas brauseriseansis ning võrrelge väljumisaadresse; kui teine näitab endiselt tunnelit, teeb poliitikatabel seda, mida te palusite.

Kirjutage aadress, kuupäev ja põhjus ruuteri märkmetesse. Erand, mis on ehitatud ümber aadressi, mis hiljem liigub, muutub veaks, mida keegi aasta pärast seletada ei oska, ja parandus näib alati mõistatusena, kuni keegi vana märkme üles leiab.