როგორ გავატაროთ ერთი ვებსაიტი თქვენი WireGuard გვირაბის გარეთ

ჰოსტის სახელის გამორიცხვა ისეთი რამ არის, რაც გვირაბს არ შეუძლია. თუმცა მარშრუტს შეუძლია ერთი ადრესი გაატაროს გვირაბის გვერდით და გარეთ სახლის კარიბჭის გავლით, და ერთი საიტისთვის ეს ჩვეულებრივ საკმარისია. სირთულე იმაშია, რომ ყველაფერი მარშრუტის შემდეგ უნდა შეთანხმდეს: ფაირვოლმა პაკეტი უნდა გაუშვას გარეთ, DNS-მა უნდა დააბრუნოს ის ადრესი, რომელიც თქვენ გაატარეთ, და საიტმა უნდა გააგრძელოს ამ ადრესის გამოყენება. როცა სამიდან რომელიმე გადაიხრება, გამონაკლისი წყვეტს მუშაობას საკუთარი თავის გამოცხადების გარეშე.

წაიკითხეთ დანიშნულების ადრესი, სანამ გვირაბს შეეხებით

ჩატვირთეთ საიტი ერთხელ ჩართული გვირაბით, შემდეგ შეხედეთ იმ პირის ადრესს, რომელთანაც ბრაუზერი რეალურად დაუკავშირდა. Linux-ზე, ss -tunp ჩამოთვლის ყოველი ღია სოკეტის დისტანციურ ადრესს, და dig +short იმავე სახელზე აჩვენებს, რა დააბრუნა გადამწყვეტმა. ორივე რიცხვი თვალწინ გქონდეთ.

ორი პასუხი ხშირად არ ემთხვევა, და სწორედ ეს განსხვავებაა მთელი პრობლემა. დიდი საიტები თავიანთი წყაროს წინ კონტენტის ქსელს აყენებენ, ამიტომ გადამწყვეტის ახლა დაბრუნებული ადრესი შეიძლება არ იყოს ის, რომელიც ბრაუზერმა ერთი წუთის წინ გამოიყენა. გაატარეთ ის, რაც სოკეტზე დააკვირდით, და არა ის, რასაც ძველი სახელმძღვანელო ჩამოთვლის. თუ პასუხები რეგიონებს შორის განაგრძობს ტრიალს, ადრესის გამონაკლისი არასწორი იარაღია კონკრეტული საიტისთვის.

გაუშვით ძებნა მეორედ სხვა ქსელიდან, და ჩაწერეთ IPv6 პასუხი IPv4-ის პასუხთან ერთად. ორივე ოჯახის მატარებელ გვირაბს ორივეში სჭირდება გამონაკლისი, თორემ ბრაუზერი ჩუმად უბრუნდება იმ IPv6 გზას, რომელსაც არასდროს შეხებია. ჩაწერეთ ადრესები და თარიღი იქ, სადაც კიდევ შეხედავთ.

დააყენეთ ერთი ჰოსტის მარშრუტი კლიენტზე

დავუშვათ, ინტერფეისს ჰქვია home-wg და LAN როუტერი 192.168.1.1-ზე დგას. NetworkManager იღებს მარშრუტს, რომლის კარიბჭე ეს როუტერია და რომლის პრეფიქსის სიგრძე მთელ 32 ბიტს ფარავს, და ბირთვი მას ამჯობინებს, რადგან ყველაზე გრძელი პრეფიქსი იმარჯვებს.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

კარიბჭე ხელმისაწვდომი უნდა იყოს გვირაბის გარეშე; შემდეგი ნახტომის გვირაბის ადრესზე მიმართვა მიზანს აფუჭებს, რადგან პაკეტი ისევ იმ ინტერფეისში შევა, რომლისგან თავის არიდებას ცდილობთ. მას შემდეგ, რაც კავშირი ისევ ამოვა, ip route get გამონაკლისისთვის LAN კარიბჭე უნდა დაბეჭდოს, და იგივე ბრძანებამ საჯარო გადამწყვეტისთვის კვლავ გვირაბის მოწყობილობა უნდა დაბეჭდოს.

wg-quick პროფილს მარშრუტების ველი არ აქვს, ამიტომ იგივე გამონაკლისი ცხოვრობს ხაზში PostUp , რომელიც ჰოსტის მარშრუტს ძირითად ცხრილს უმატებს LAN ინტერფეისს მის მოწყობილობად აქცევს. რედაქტირების შემდეგ ინტერფეისი ჩამოწიეთ და ისევ აწიეთ, რადგან მომუშავე ინტერფეისი არასდროს ხელახლა არ კითხულობს თავის ფაილს. fwmark წესები, რომლებსაც wg-quick აყენებს, მხოლოდ მის საკუთარ ინკაფსულირებულ პაკეტებს მართავს, ამიტომ ჩვეულებრივი ბრაუზერის ტრაფიკი კვლავ ძირითად ცხრილს მიჰყვება და თქვენს /32-ს პოულობს.

მკვლელი გადამრთველი შემდეგი რამ არის, რაც ამას ბლოკავს

ფაირვოლის პოლიტიკა, რომელიც ტრაფიკს მხოლოდ გვირაბის ინტერფეისზე უშვებს, გამონაკლისს მოისვრის მაშინაც კი, როცა მარშრუტი სრულიად სწორია. წაიკითხეთ გადამრთველის უკან არსებული წესები და ნუ ენდობით გადამრთველს, რადგან ისინი, რომლებიც მკვლელ გადამრთველს ახორციელებენ, ჩვეულებრივ ინტერფეისის სახელით შემოიფარგლებიან.

რაც გსურთ, არის ვიწრო ნებართვა ფიზიკური ინტერფეისისთვის და იმ ერთი დანიშნულებისთვის, განთავსებული უარყოფამდე, სანამ ნაგულისხმევი პოლიტიკა ხელუხლებელი რჩება. მკვლელი გადამრთველის მთლიანად შეჩერება ამტკიცებს აზრს, მაგრამ ასევე ტოვებს მანქანას ღიად მანამ, სანამ დაივიწყებთ მის ხელახლა ჩართვას.

გამოსცადეთ ორივე მიმართულება ცალ-ცალკე. მოთხოვნა გამონაკლისის ადრესზე უნდა წარმატდეს, მაშინ როცა დაუკავშირებელ საიტზე მოთხოვნა კვლავ გვირაბიდან გადის. თუ ორივე წარმატდება, მაგრამ მეორე სახლის ადრესს აცნობს, ფაირვოლის წესების რიგია არასწორი და არა მარშრუტი.

DNS წყვეტს, რომელ ადრესზე დარეკავს ბრაუზერი

როცა სახელი გვირაბის შიგნით წყდება, პროვაიდერის გადამწყვეტმა შეიძლება უპასუხოს სხვა ადრესით, ვიდრე ადგილობრივმა. მაშინ თქვენი მარშრუტი ვრცელდება ადრესზე, რომელთანაც ბრაუზერი არასდროს დაუკავშირდება, და გვერდი გვირაბის გავლით იტვირთება, თითქოს არაფერი შეცვლილა. ეს ჩავარდნა გატეხილ გამონაკლისს ჰგავს, მაშინაც კი, როცა მარშრუტიზაციის ცხრილი სწორია.

გაგზავნეთ იმ სახელის შეკითხვები ადგილობრივი გადამწყვეტის გავლითაც, ან საერთოდ გამოტოვეთ სახელები და ადრესი პირდაპირ გამოსცადეთ. ადრესის გაყოფა იმ დროს, როცა DNS გვირაბის შიგნით რჩება, ამ კონფიგურაციის ყველაზე გავრცელებული ნახევრად დასრულებული ვარიანტია, და მისი შემჩნევაც ყველაზე ძნელია, რადგან საიტი განაგრძობს მუშაობას, უბრალოდ არა ისე, როგორც თქვენ გინდოდათ.

იგივე გამონაკლისი როუტერზე, ერთხელ, ყოველი მოწყობილობისთვის

როცა გვირაბი როუტერზე მუშაობს, ჰოსტის მარშრუტი როუტერის პოლიტიკური მარშრუტიზაციის ცხრილს ეკუთვნის და LAN კარიბჭის ნაცვლად WAN კარიბჭისკენ მიუთითებს. მის უკან ყოველი მოწყობილობა გამონაკლისს მემკვიდრეობით იღებს, რაც მნიშვნელოვანია სტრიმინგის ყუთისთვის ან სამუშაო ლეპტოპისთვის, რომლის ქსელურ პარამეტრებს ვერ შეცვლით.

დატოვეთ გვირაბი ნაგულისხმევ გასასვლელად ყველა სხვა კლიენტისთვის, შემდეგ გადაამოწმეთ კლიენტის მანქანიდან და არა როუტერის კონსოლიდან. ჩატვირთეთ გამონაკლისის საიტი და მეორე საიტი იმავე ბრაუზერის სესიაში და შეადარეთ გასასვლელი ადრესები; თუ მეორე კვლავ გვირაბს აჩვენებს, პოლიტიკის ცხრილი აკეთებს იმას, რაც თქვენ ითხოვეთ.

ჩაწერეთ ადრესი, თარიღი და მიზეზი როუტერის შენიშვნებში. ადრესის გარშემო აშენებული გამონაკლისი, რომელიც მოგვიანებით გადაადგილდება, ხდება ხარვეზი, რომელსაც ერთი წლის შემდეგ ვერავინ ახსნის, და გამოსწორება ყოველთვის გამოცანას ჰგავს, სანამ ვინმე ძველ შენიშვნას იპოვის.