Nola bideratu webgune bat zure WireGuard tunelatik kanpo

Ostalari-izen bat baztertzea tunel batek egin ezin duen gauza da. Ibilbide batek, ordea, helbide bakar bat tunelatik kanpo eta etxeko atebidearen bidez kanpora bidal dezake, eta hori nahikoa izaten da webgune baterako. Koska da ibilbidearen ondorengo guztiak bat etorri behar duela: suebakiak paketea irteten utzi behar du, DNSak bideratu duzun helbidea itzuli behar du, eta webguneak helbide hori erabiltzen jarraitu behar du. Hiruretako edozein desbideratzen denean, salbuespena isildu egiten da, bere burua iragarri gabe.

Irakurri helmugako helbidea tunela ukitu aurretik

Kargatu webgunea behin tunela martxan duzula, eta gero begiratu nabigatzaileak benetan konektatu zuen pareko helbidea. Linuxen, ss -tunp irekitako socket bakoitzaren urruneko helbidea zerrendatzen du, eta dig +short izen beraren gainean erantzun zuena erakusten du. Eduki bi zenbakiak aurrean.

Bi erantzunak sarritan ez datoz bat, eta desadostasun hori da arazoa osoa. Webgune handiek edukien sare bat jartzen dute beren jatorriaren aurrean, beraz zure resolverak orain itzultzen duen helbidea agian ez da nabigatzaileak duela minutu bat erabili zuena. Bideratu socketean ikusi zenuena, gida zaharrago batek zerrendatzen duena baino. Erantzunak eskualdeen artean biratzen jarraitzen badute, helbide-salbuetsipena tresna okerra da webgune zehatz horretarako.

Exekutatu bilaketa bigarren aldiz beste sare batetik, eta idatzi IPv6 erantzuna IPv4 harekin batera. Bi familiak daramatzan tunelak bietan behar du salbuespena, bestela nabigatzailea isilik erortzen da inoiz ukitu ez duzun IPv6 bidera. Jarri helbideak eta data berriro begiratuko duzun toki batean.

Jarri ostalari-ibilbide bat bezeroan

Demagun interfazeak home-wg duela izena eta LAN bideratzailea 192.168.1.1-n dagoela. NetworkManagerrek atebidea bideratzaile hori duen eta aurrizkiaren luzerak 32 bit guztiak betetzen dituen ibilbide bat hartzen du, eta kernelak hura nahiago du, aurrizkirik luzeenak irabazten duelako.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Atebidea tunelik gabe irisgarria izan behar da; hurrengo jauzia tunelaren helbidera zuzentzeak helburua zapuzten du, paketea saihestu nahi duzun interfazera sartuko bailitzateke berriro. Konexioa berriro altxatzen denean, ip route get salbuespenarentzat LAN atebidea inprimatu behar luke, eta resolver publiko baterako komando berak tunelaren gailua inprimatu beharko luke oraindik.

wg-quick profileak ez du ibilbide-eremurik, beraz salbuespen bera lerro batean bizi da PostUp ostalari-ibilbidea taula nagusian gehitzen duena, LAN interfazea gailutzat hartuta. Jaitsi eta altxatu interfazea editatu ondoren, martxan dagoen interfazeak ez baitu inoiz bere fitxategia berriro irakurtzen. wg-quickek instalatzen dituen fwmark arauek berak kapsulatutako paketeak soilik gidatzen dituzte, beraz nabigatzailearen ohiko trafikoak taula nagusia jarraitzen du eta zure /32 aurkitzen du.

Kill switcha da hori blokeatzen duen hurrengo gauza

Tunelaren interfazean soilik trafikoa onartzen duen suebaki-politika batek salbuespena botako du ibilbidea erabat zuzena denean ere. Irakurri etengailuaren atzeko arauak etengailuan fidatu beharrean, kill switch bat ezartzen dutenak normalean interfaze-izen batera mugatuta egoten baitira.

Nahi duzuna interfaze fisikoarentzat eta helmuga bakar horretarako baimen estua da, bazterketaren aurretik jarrita, politika lehenetsia ukitu gabe geratzen den bitartean. Kill switcha osorik gelditzeak puntua frogatzen du, baina makina agerian uzten du berriro piztea ahazten duzun bitartean.

Probatu bi noranzkoak bereizita. Salbuespenaren helbidera egindako eskaerak arrakasta izan behar du, erlaziorik gabeko webgune batera egindako eskaerak tunelaren bidez irteten jarraitzen duen bitartean. Biak arrakastatsuak badira baina bigarrenak etxeko helbidea ematen badu, suebakiaren arauen ordena dago gaizki, ez ibilbidea.

DNSak erabakitzen du zein helbidetara deitzen duen nabigatzaileak

Izena tunelaren barruan ebazten denean, hornitzailearen resolverak tokikoak eman zuenaren beste helbide bat eman dezake. Orduan zure ibilbidea nabigatzaileak inoiz ukitzen ez duen helbide bati aplikatzen zaio, eta orria tunelaren bidez kargatzen da ezer aldatu ez balitz bezala. Hutsegite hori salbuespen hautsi baten antzekoa da, bideratze-taula zuzena denean ere.

Bidali izen horren kontsultak tokiko resolveraren bidez ere, edo saltatu izenak erabat eta probatu helbidea zuzenean. Helbidea banatzea DNS tunelaren barruan utzita konfigurazio honen bertsio erdi-egina ohikoena da, eta berau da nabaritzen zailena, webguneak funtzionatzen jarraitzen baitu, ez ordea nahi zenuen moduan.

Salbuespen bera bideratzailean, behin, gailu bakoitzeko

Tunela bideratzailean martxan dela, ostalari-ibilbidea bideratzailearen politika-bideratze taulari dagokio eta WAN atebidera seinalatzen du, LAN atebidera beharrean. Atzeko gailu bakoitzak salbuespena heredatzen du, eta hori garrantzitsua da streaming kutxa baterako edo lanerako ordenagailu baterako, haren sare-ezarpenak ezin dituzulako aldatu.

Utzi tunela beste bezero guztientzako irteera lehenetsi gisa, eta gero egiaztatu bezero-makina batetik, bideratzailearen kontsolatik beharrean. Kargatu salbuespenaren webgunea eta bigarren webgune bat nabigatzaile-saio berean eta alderatu irteera-helbideak; bigarrenak oraindik tunela erakusten badu, politika-taula eskatutakoa egiten ari da.

Idatzi helbidea, data eta arrazoia bideratzailearen oharretan. Geroago mugitzen den helbide baten inguruan eraikitako salbuespena urtebete barru inork azaldu ezin duen hutsegite bihurtzen da, eta konponbidea misterio bat bezalakoa izaten da beti norbaitek ohar zaharra aurkitu arte.