Hoe jo ien webside bûten jo WireGuard-tunnel liede

In hostnamme útslute is eat dat in tunnel net kin. In rûte kin lykwols ien adres by de tunnel lâns en nei bûten troch de thús-poarte stjoere, en dat is meastal genôch foar ien side. It addertsje is dat alles streamôf fan de rûte it iens wêze moat: de firewall moat it pakket derút litte, DNS moat it adres weromjaan dat jo rûte hawwe, en de side moat dat adres bliuwe brûken. As ien fan de trije ôfdwalelet, hâldt de útsûndering op mei wurkjen sûnder himsels oan te kundigjen.

Lês it bestimmingsadres foardat jo de tunnel oanreitsje

Laad de side ien kear mei de tunnel omheech, en sjoch dan nei it peer-adres dêr't de browser him wier mei ferbûn hat. Op Linux, ss -tunp lit it fiere adres sjen foar elke iepen socket, en dig +short op deselde namme lit sjen wat de resolver weromjoech. Hâld beide nûmers foar jo.

De twa antwurden binne it faak net iens, en dat ferskil is it hiele probleem. Grutte siden sette in ynhâldsnetwurk foar har oarsprong, sadat it adres dat jo resolver no weromjout miskien net it adres is dat de browser in minút lyn brûkte. Rûte wat jo op de socket seagen, net wat in âldere gids listet. As de antwurden hieltyd tusken regio's draaie, is in adres-útsûndering it ferkearde ynstrumint foar dy spesifike side.

Doch it sykjen in twadde kear út in oar netwurk, en skriuw it IPv6-antwurd op tegearre mei it IPv4-antwurd. In tunnel dy't beide famyljes draacht, hat in útsûndering yn beide nedich, oars falt de browser stil werom op it IPv6-paad dat jo nea oanrekke hawwe. Set de adressen en de datum earne dêr't jo wer nei sille sjen.

Set ien hostrûte op de klient

Stel dat de ynterface home-wg hjit en de LAN-router op 192.168.1.1 stiet. NetworkManager nimt in rûte waans poarte dy router is en waans foarheaksellingte de folsleine 32 bits beslacht, en de kernel foarkomt dy omdat it langste foarheaksel wint.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

De poarte moat berikber wêze sûnder de tunnel; it folgjende hop nei it tunneladres wize bedjert it doel, want it pakket soe wer yn 'e ynterface komme dy't jo besykje te mijen. Nei't de ferbining wer omheech giet, ip route get foar de útsûndering moat de LAN-poarte printsje, en itselde kommando foar in iepenbiere resolver moat noch hieltyd it tunnelapparaat printsje.

In wg-quick-profyl hat gjin rûtefjild, dus deselde útsûndering libbet yn in PostUp -rigel dy't de hostrûte oan 'e haadtabel taheakket mei de LAN-ynterface as apparaat. Bring de ynterface nei it bewurkjen del en wer omheech, want in rinende ynterface lêst syn bestân nea wer. De fwmark-regels dy't wg-quick ynstallearret, stjoere allinnich syn eigen ynkapselle pakketten, dus gewoan browserferkear folget noch hieltyd de haadtabel en fynt jo /32.

De needskakelaar is it folgjende dat it blokket

In firewallbelied dat ferkear allinnich op 'e tunnel-ynterface talit, smyt de útsûndering weil, sels as de rûte krekt goed is. Lês de regels efter de skeakel yn stee fan de skeakel te fertrouwen, want dejingen dy't in needskakelaar ymplementearje binne meastentiids beheind ta in ynterfacenamme.

Wat jo wolle is in smelle tastimming foar de fysike ynterface en dat iene bestimming, pleatst foar it weilitten, wylst it standertbelied ûnoanrekke bliuwt. It hiele needskakelaar pauzearje bewiist it punt, mar lit de masine ek bleat safolste jo ferjitte it wer oan te setten.

Test de twa rjochtingen apart. In fersyk nei it útsûnderingsadres moat slagje wylst in fersyk nei in net-relatearre side noch hieltyd troch de tunnel giet. As beide slagje mar it twadde rapportearret it thúsadres, is de folchoarder fan de firewallregels ferkeard, net de rûte.

DNS beslút hokker adres de browser kiest

As de namme binnen de tunnel oplost wurdt, kin de resolver fan 'e provider in oar adres antwurdzje as de lokale. Jo rûte jildt dan foar in adres dat de browser nea kontaktet, en de side lade troch de tunnel as wie der neat feroare. Dizze flater liket op in brutsen útsûndering, sels as de rûtetabel goed is.

Stjoer de fragen fan dy namme ek troch de lokale resolver, of slach nammen hielendal oer en test it adres direkt. It adres splitsen wylst DNS binnen de tunnel bliuwt, is de meast foarkommende healôffene ferzje fan dizze opset, en it is ek it dreechst te fernimmen, want de side bliuwt wurkjen, mar net sa't jo bedoelden.

Deselde útsûndering op de router, ien kear, foar elk apparaat

Mei de tunnel op 'e router rint, heart de hostrûte yn 'e beliedsrûtetabel fan 'e router en wiist nei de WAN-poarte yn stee fan de LAN-poarte. Elk apparaat efter de router erft de útsûndering, wat fan belang is foar in streamingkast of in wurklaptop wêrfan jo de netwurkyustellingen net feroarje kinne.

Lit de tunnel as de standertútgong foar elke oare klient, en ferifiearje dan fan in klientmasine ôf yn stee fan fan 'e routerkonsôle. Laad de útsûnderingsside en in twadde side yn deselde browsersesje en ferlykje de útgongsadressen; as it twadde noch hieltyd de tunnel sjen lit, docht de beliedstabel wat jo fregen.

Skriuw it adres, de datum en de reden yn 'e notysjes fan 'e router. In útsûndering boud om in adres dat letter ferskoot, wurdt in flater dy't nimmen oer in jier ferklearje kin, en de oplossing liket altyd op in riedsel oant immen de âlde notysje fynt.