Бір веб-сайтты WireGuard туннеліңізден тысқары қалай бағыттауға болады

Хост атауын шығарып тастау — туннель жасай алмайтын нәрсе. Алайда маршрут бір мекенжайды туннельді айналып өтіп, үй шлюзі арқылы сыртқа жібере алады, және бір сайт үшін бұл әдетте жеткілікті. Қиындығы — маршруттан төмендегі барлық нәрсе келісуі керек: брандмауэр пакетті сыртқа жіберуі керек, DNS сіз бағыттаған мекенжайды қайтаруы керек, ал сайт сол мекенжайды пайдалануды жалғастыруы керек. Үшеуінің бірі ауытқыса, ерекшелік өзін жарияламай-ақ жұмысын тоқтатады.

Туннельге тимей тұрып, мақсатты мекенжайды оқыңыз

Сайтты туннель қосулы күйде бір рет жүктеңіз, содан кейін браузер шынымен қосылған теңдеме мекенжайын қараңыз. Linux-те, ss -tunp әр ашық сокеттің қашықтағы мекенжайын тізімдейді, ал dig +short сол атау бойынша шешушінің не қайтарғанын көрсетеді. Екі санды да көз алдыңызда ұстаңыз.

Екі жауап жиі сәйкес келмейді, және осы сәйкессіздік — бүкіл мәселе. Үлкен сайттар өз бастауының алдына контент желісін қояды, сондықтан шешушінің қазір қайтарған мекенжайы браузердің бір минут бұрын пайдаланғаны болмауы мүмкін. Сокетте байқағаныңызды бағыттаңыз, ескі нұсқаулықта тізілгенді емес. Жауаптар аймақтар арасында айналып жүрсе, сол нақты сайт үшін мекенжай ерекшелігі дұрыс құрал емес.

Іздеуді екінші рет басқа желіден орындаңыз және IPv6 жауабын IPv4 жауабымен бірге жазып алыңыз. Екі отбасын да таситын туннель екеуінде де ерекшелік қажет етеді, әйтпесе браузер сіз ешқашан тимеген IPv6 жолына үнсіз қайтады. Мекенжайлар мен күнді қайта қарайтын жерге жазыңыз.

Клиентке бір хост маршрутын қойыңыз

Интерфейс home-wg деп аталады және LAN маршрутизаторы 192.168.1.1 мекенжайында деп есептейік. NetworkManager шлюзі сол маршрутизатор болып табылатын және префикс ұзындығы толық 32 битті қамтитын маршрутты алады, ал ядро оны жөн көреді, өйткені ең ұзын префикс жеңеді.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Шлюз туннельсіз қолжетімді болуы керек; келесі секірісті туннель мекенжайына бағыттау мақсатты бұзады, өйткені пакет сіз аулақ болуға тырысқан интерфейске қайта кіреді. Қосылым қайта көтерілгеннен кейін, ip route get ерекшелік үшін LAN шлюзін басып шығаруы керек, ал қоғамдық шешуші үшін сол пәрмен әлі де туннель құрылғысын басып шығаруы керек.

wg-quick профилінде маршруттар өрісі жоқ, сондықтан сол ерекшелік PostUp жолында өмір сүреді, ол хост маршрутын LAN интерфейсін өзінің құрылғысы ретінде алып негізгі кестеге қосады. Өңдегеннен кейін интерфейсті түсіріп, қайта көтеріңіз, өйткені жұмыс істеп тұрған интерфейс өз файлын ешқашан қайта оқымайды. wg-quick орнататын fwmark ережелері тек өзінің инкапсуляцияланған пакеттерін бағыттайды, сондықтан қарапайым браузер трафигі әлі де негізгі кестені ұстанып, сіздің /32-іңізді табады.

Өлтіру қосқышы — бұған кедергі болатын келесі нәрсе

Трафикті тек туннель интерфейсінде қабылдайтын брандмауэр саясаты маршрут дәл дұрыс болса да ерекшелікті тастайды. Қосқышқа сенудің орнына қосқыштың артындағы ережелерді оқыңыз, өйткені өлтіру қосқышын жүзеге асыратындар әдетте интерфейс атауымен шектеледі.

Сізге физикалық интерфейс пен сол бір мақсат үшін тар рұқсат керек, ол тастаудан бұрын қойылады, ал әдепкі саясат тиіспеген күйде қалады. Өлтіру қосқышын толық кідірту ойды дәлелдейді, бірақ оны қайта қосуды ұмытқанша машинаны ашық қалдырады.

Екі бағытты бөлек тексеріңіз. Ерекшелік мекенжайына сұраныс сәтті болуы керек, ал байланысы жоқ сайтқа сұраныс әлі де туннель арқылы шығуы керек. Екеуі де сәтті болса, бірақ екіншісі үй мекенжайын хабарласа, брандмауэр ережелерінің реті дұрыс емес, маршрут емес.

DNS браузер қай мекенжайға қоңырау шалатынын шешеді

Атау туннельдің ішінде шешілгенде, провайдердің шешушісі жергілікті шешуші бергеннен өзгеше мекенжаймен жауап беруі мүмкін. Сонда сіздің маршрутыңыз браузер ешқашан хабарласпайтын мекенжайға қолданылады, ал бет туннель арқылы ештеңе өзгермегендей жүктеледі. Маршруттау кестесі дұрыс болса да, бұл ақау сынған ерекшелікке ұқсайды.

Сол атаудың сұрауларын жергілікті шешуші арқылы да жіберіңіз, немесе атауларды мүлдем өткізіп жіберіп, мекенжайды тікелей тексеріңіз. DNS туннельдің ішінде қалып, мекенжайды бөлу — бұл конфигурацияның ең көп тараған жартылай аяқталған нұсқасы, әрі оны байқау ең қиын, өйткені сайт жұмысын жалғастырады, тек сіз қалағандай емес.

Маршрутизаторда сол ерекшелік, бір рет, әр құрылғы үшін

Туннель маршрутизаторда жұмыс істеп тұрса, хост маршруты маршрутизатордың саяси маршруттау кестесіне жатады және LAN шлюзінің орнына WAN шлюзіне сілтейді. Оның артындағы әр құрылғы ерекшелікті мұраға алады, бұл ағындық қорап немесе желілік параметрлерін өзгерте алмайтын жұмыс ноутбугі үшін маңызды.

Туннельді барлық басқа клиент үшін әдепкі шығу ретінде қалдырыңыз, содан кейін маршрутизатор консолінен емес, клиент машинасынан тексеріңіз. Бір браузер сессиясында ерекшелік сайтын және екінші сайтты жүктеп, шығу мекенжайларын салыстырыңыз; егер екіншісі әлі де туннельді көрсетсе, саясат кестесі сіз сұрағанды жасап тұр.

Маршрутизатордың жазбаларына мекенжайды, күнді және себебін жазыңыз. Кейін жылжыған мекенжайдың айналасында құрылған ерекшелік бір жылдан кейін ешкім түсіндіре алмайтын ақауға айналады, ал түзету ескі жазбаны біреу тапқанша қашан да жұмбақ болып көрінеді.