તમારા WireGuard ટનલની બહાર એક વેબસાઇટને કેવી રીતે રૂટ કરવી

હોસ્ટનામ બાકાત રાખવું એ ટનલ કરી શકતી નથી તેવી વસ્તુ છે. જોકે એક રૂટ એક જ એડ્રેસને ટનલની બહાર અને ઘરના ગેટવે દ્વારા બહાર મોકલી શકે છે, અને એક સાઇટ માટે સામાન્ય રીતે એ પૂરતું છે. મુશ્કેલી એ છે કે રૂટ પછીની દરેક વસ્તુએ સહમત થવું પડે: ફાયરવોલે પેકેટને બહાર જવા દેવું પડે, DNS એ તમે રૂટ કરેલું એડ્રેસ પાછું આપવું પડે, અને સાઇટે એ એડ્રેસ વાપરવાનું ચાલુ રાખવું પડે. ત્રણમાંથી કોઈ પણ એક ખસી જાય તો અપવાદ પોતાની જાહેરાત કર્યા વિના કામ કરવાનું બંધ કરી દે છે.

ટનલને અડકતા પહેલા લક્ષ્ય એડ્રેસ વાંચો

ટનલ ચાલુ રાખીને સાઇટ એક વાર લોડ કરો, પછી બ્રાઉઝર ખરેખર જે પીઅર એડ્રેસ સાથે જોડાયું હતું તે જુઓ. Linux પર, ss -tunp દરેક ખુલ્લા સોકેટનું રિમોટ એડ્રેસ સૂચિબદ્ધ કરે છે, અને dig +short એ જ નામ પર રિઝોલ્વર શું પાછું આપ્યું તે દર્શાવે છે. બંને નંબર તમારી સામે રાખો.

બંને જવાબો ઘણી વાર મેળ ખાતા નથી, અને એ જ તફાવત આખી સમસ્યા છે. મોટી સાઇટો પોતાના ઉદ્ભવની સામે કન્ટેન્ટ નેટવર્ક મૂકે છે, તેથી તમારું રિઝોલ્વર હમણાં જે એડ્રેસ પાછું આપે છે તે એ ન હોઈ શકે જે બ્રાઉઝરે એક મિનિટ પહેલા વાપર્યું હતું. તમે સોકેટ પર જે જોયું તે રૂટ કરો, જૂની માર્ગદર્શિકા જે સૂચિબદ્ધ કરે છે તે નહીં. જવાબો પ્રદેશો વચ્ચે ફરતા રહેતા હોય તો એ ચોક્કસ સાઇટ માટે એડ્રેસ-અપવાદ ખોટું સાધન છે.

બીજા નેટવર્કથી લુકઅપ બીજી વાર ચલાવો, અને IPv4 જવાબ સાથે IPv6 જવાબ પણ નોંધો. બંને કુટુંબ વહન કરતી ટનલને બંનેમાં અપવાદની જરૂર છે, નહીં તો બ્રાઉઝર ચૂપચાપ તમે ક્યારેય ન અડ્યા હોય તેવા IPv6 માર્ગ પર પાછું જાય છે. એડ્રેસ અને તારીખ એવી જગ્યાએ લખો જ્યાં તમે ફરી જોશો.

ક્લાઇન્ટ પર એક હોસ્ટ રૂટ મૂકો

ધારો કે ઇન્ટરફેસનું નામ home-wg છે અને LAN રાઉટર 192.168.1.1 પર છે. NetworkManager એવો રૂટ લે છે જેનો ગેટવે એ રાઉટર છે અને જેની પ્રિફિક્સ લંબાઈ આખા 32 બિટને આવરે છે, અને કર્નલ તેને પસંદ કરે છે કારણ કે સૌથી લાંબો પ્રિફિક્સ જીતે છે.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

ગેટવે ટનલ વિના પહોંચી શકાય તેવો હોવો જોઈએ; આગળની હોપને ટનલના એડ્રેસ તરફ દોરવાથી હેતુ નિષ્ફળ જાય છે, કારણ કે પેકેટ ફરી એ ઇન્ટરફેસમાં દાખલ થશે જેને તમે ટાળવા માંગો છો. કનેક્શન ફરી ઉપર આવ્યા પછી, ip route get અપવાદ માટે LAN ગેટવે છાપવો જોઈએ, અને જાહેર રિઝોલ્વર માટે એ જ આદેશ હજી પણ ટનલ ઉપકરણ છાપવો જોઈએ.

wg-quick પ્રોફાઇલમાં કોઈ રૂટ ફીલ્ડ નથી, તેથી એ જ અપવાદ એક PostUp લીટીમાં રહે છે જે હોસ્ટ રૂટને LAN ઇન્ટરફેસને તેના ઉપકરણ તરીકે લઈને મુખ્ય કોષ્ટકમાં ઉમેરે છે. સંપાદન પછી ઇન્ટરફેસ નીચે અને ઉપર કરો, કારણ કે ચાલતું ઇન્ટરફેસ ક્યારેય તેની ફાઇલ ફરી વાંચતું નથી. wg-quick જે fwmark નિયમો સ્થાપિત કરે છે તે ફક્ત તેના પોતાના એન્કેપ્સ્યુલેટેડ પેકેટને દિશા આપે છે, તેથી સામાન્ય બ્રાઉઝર ટ્રાફિક હજી પણ મુખ્ય કોષ્ટકને અનુસરે છે અને તમારું /32 શોધે છે.

કિલ સ્વિચ એ આગળની વસ્તુ છે જે તેને અવરોધે છે

ફક્ત ટનલ ઇન્ટરફેસ પર ટ્રાફિક સ્વીકારતી ફાયરવોલ નીતિ રૂટ બરાબર સાચો હોય તો પણ અપવાદને કાઢી નાખશે. સ્વિચ પર ભરોસો કરવાને બદલે સ્વિચ પાછળના નિયમો વાંચો, કારણ કે કિલ સ્વિચ અમલમાં મૂકતા નિયમો સામાન્ય રીતે ઇન્ટરફેસ નામ સુધી મર્યાદિત હોય છે.

તમે ઇચ્છો છો ભૌતિક ઇન્ટરફેસ અને એ એક લક્ષ્ય માટે સાંકડી પરવાનગી, ડ્રોપ પહેલાં મૂકેલી, જ્યારે ડિફોલ્ટ નીતિ અસ્પૃષ્ટ રહે. કિલ સ્વિચ સંપૂર્ણપણે થોભાવવો મુદ્દો સાબિત કરે છે, પણ જ્યાં સુધી તમે તેને ફરી ચાલુ કરવાનું ભૂલો ત્યાં સુધી મશીનને ખુલ્લું પણ રાખે છે.

બંને દિશાઓ અલગથી ચકાસો. અપવાદના એડ્રેસ પરની વિનંતી સફળ થવી જોઈએ જ્યારે અસંબંધિત સાઇટ પરની વિનંતી હજી પણ ટનલ દ્વારા બહાર જાય. જો બંને સફળ થાય પણ બીજી ઘરનું એડ્રેસ જણાવે, તો ફાયરવોલ નિયમોનો ક્રમ ખોટો છે, રૂટ નહીં.

DNS નક્કી કરે છે કે બ્રાઉઝર કયા એડ્રેસ પર ડાયલ કરશે

જ્યારે નામ ટનલની અંદર રિઝોલ્વ થાય છે, ત્યારે પ્રદાતાનું રિઝોલ્વર સ્થાનિક રિઝોલ્વર કરતાં અલગ એડ્રેસ સાથે જવાબ આપી શકે છે. પછી તમારો રૂટ એવા એડ્રેસ પર લાગુ થાય છે જેનો બ્રાઉઝર ક્યારેય સંપર્ક કરતું નથી, અને પૃષ્ઠ ટનલ દ્વારા લોડ થાય છે જાણે કંઈ બદલાયું જ ન હોય. રાઉટિંગ કોષ્ટક સાચું હોવા છતાં આ નિષ્ફળતા તૂટેલા અપવાદ જેવી લાગે છે.

એ નામની ક્વેરીઓ સ્થાનિક રિઝોલ્વર દ્વારા પણ મોકલો, અથવા નામો સંપૂર્ણપણે છોડી દો અને એડ્રેસ સીધું ચકાસો. DNS ને ટનલની અંદર રાખીને એડ્રેસને વિભાજિત કરવું આ સેટઅપનું સૌથી સામાન્ય અડધું પૂરું થયેલું સંસ્કરણ છે, અને તે સૌથી અઘરું પણ છે નોંધવું, કારણ કે સાઇટ કામ કરતી રહે છે, ફક્ત તમે ઇચ્છ્યું હતું તે રીતે નહીં.

રાઉટર પર એ જ અપવાદ, એક વાર, દરેક ઉપકરણ માટે

ટનલ રાઉટર પર ચાલતી હોય ત્યારે, હોસ્ટ રૂટ રાઉટરના નીતિ રાઉટિંગ કોષ્ટકનો હિસ્સો છે અને LAN ગેટવેને બદલે WAN ગેટવે તરફ નિર્દેશ કરે છે. તેની પાછળનું દરેક ઉપકરણ અપવાદ વારસામાં મેળવે છે, જે સ્ટ્રીમિંગ બોક્સ અથવા કામના લેપટોપ માટે મહત્વનું છે જેની નેટવર્ક સેટિંગ્સ તમે બદલી શકતા નથી.

દરેક બીજા ક્લાઇન્ટ માટે ટનલને ડિફોલ્ટ એક્ઝિટ તરીકે રાખો, પછી રાઉટર કન્સોલને બદલે ક્લાઇન્ટ મશીનથી ચકાસો. એ જ બ્રાઉઝર સેશનમાં અપવાદ સાઇટ અને બીજી સાઇટ લોડ કરો અને એક્ઝિટ એડ્રેસની સરખામણી કરો; જો બીજી હજી પણ ટનલ દર્શાવે, તો નીતિ કોષ્ટક તમે માંગ્યું તે કરી રહ્યું છે.

રાઉટરની નોંધમાં એડ્રેસ, તારીખ અને કારણ લખો. પછી ખસી જતા એડ્રેસની આસપાસ બનેલો અપવાદ એવી ખામી બને છે જે એક વર્ષ પછી કોઈ સમજાવી શકતું નથી, અને કોઈ જૂની નોંધ ન મળે ત્યાં સુધી ઉકેલ હંમેશા એક કોયડા જેવો લાગે છે.