Бир веб-сайтты WireGuard туннелиңизден тышкары кантип багыттоо керек

Хост атын четтетүү — туннел кыла албаган нерсе. Бирок маршрут бир даректи туннелден айланып, үй дарбазасы аркылуу тышкары жибере алат, жана бир сайт үчүн бул адатта жетиштүү. Кыйынчылык — маршруттан төмөнкү бардык нерсе макулдашууга тийиш: брандмауэр пакетти сыртка чыгарышы керек, DNS сиз багыттаган даректи кайтарышы керек, ал эми сайт ошол даректи колдонууну улантышы керек. Үчөөнүн бири тайса, өзгөчөлүк өзүн жарыялабастан иштөөнү токтотот.

Туннелге тийүүдөн мурун багыт дарегин окуңуз

Сайтты туннел күйүп турганда бир жолу жүктөңүз, анан браузер чын эле туташкан тең шары дарегин караңыз. Linux'то, ss -tunp ар бир ачык сокеттин алыскы дарегин тизмелейт, ал эми dig +short ошол эле ат боюнча чечүүчү эмнени кайтарганын көрсөтөт. Эки санды тең көз алдыңызда кармаңыз.

Эки жооп көп учурда дал келбейт, жана ушул айырма бүткүл маселе. Чоң сайттар өз булагынын алдына контент тармагын коюшат, ошондуктан чечүүчү азыр кайтарган дарек браузердин бир мүнөт мурун колдонгону болбошу мүмкүн. Сокетте байкаганыңызды багыттаңыз, эски колдонмодо тизилгенин эмес. Жооптор аймактар арасында айланып жатса, ошол конкреттүү сайт үчүн дарек өзгөчөлүгү туура эмес курал.

Издөөнү экинчи жолу башка тармактан иштетиңиз жана IPv6 жообун IPv4 жообу менен кошо жазып алыңыз. Эки үй-бүлөнү тең алып жүргөн туннел экөөндө тең өзгөчөлүк талап кылат, болбосо браузер сиз эч качан тийбеген IPv6 жолуна үнсүз кайтат. Даректерди жана күндү кайра карай турган жерге жазыңыз.

Кардарга бир хост маршрутун коюңуз

Интерфейс home-wg деп аталат жана LAN маршрутизатору 192.168.1.1 дарегинде деп белгилейли. NetworkManager дарбазасы ошол маршрутизатор болгон жана префикс узундугу толук 32 битти камтыган маршрутты алат, ал эми өзөк аны артык көрөт, анткени эң узун префикс жеңет.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Дарбаза туннелсиз жеткиликтүү болушу керек; кийинки секирүүнү туннелдин дарегине багыттоо максатты бузат, анткени пакет сиз качкыңыз келген интерфейске кайра кирет. Туташуу кайра көтөрүлгөндөн кийин, ip route get өзгөчөлүк үчүн LAN дарбазасын басып чыгарышы керек, ал эми коомдук чечүүчү үчүн ошол эле буйрук дагы эле туннел түзмөгүн басып чыгарышы керек.

wg-quick профилинде маршруттар талаасы жок, ошондуктан ошол эле өзгөчөлүк PostUp сабында жашайт, ал хост маршрутун LAN интерфейсин өзүнүн түзмөгү катары алып негизги таблицага кошот. Оңдогондон кийин интерфейсти түшүрүп, кайра көтөрүңүз, анткени иштеп жаткан интерфейс өз файлын эч качан кайра окубайт. wg-quick орноткон fwmark эрежелери өзүнүн инкапсуляцияланган пакеттерин гана багыттайт, ошондуктан кадимки браузер трафиги дагы эле негизги таблицаны ээрчип, сиздин /32-иңизди табат.

Өлтүрүү которгучу — муну тоскон кийинки нерсе

Трафикти туннелдин интерфейсинде гана кабыл алган брандмауэр саясаты маршрут так туура болсо да өзгөчөлүктү таштайт. Которгучка ишенүүнүн ордуна которгучтун артындагы эрежелерди окуңуз, анткени өлтүрүү которгучун ишке ашыргандар адатта интерфейс аты менен чектелет.

Сизге физикалык интерфейс жана ошол бир багыт үчүн тар уруксат керек, ал таштоодон мурун коюлат, ал эми демейки саясат тийбеген бойдон калат. Өлтүрүү которгучун толук токтотуу ойду далилдейт, бирок аны кайра күйгүзүүнү унутканча машинаны ачык калтырат.

Эки багытты өз-өзүнчө текшериңиз. Өзгөчөлүк дарегине сурам ийгиликтүү болушу керек, ал эми байланышы жок сайтка сурам дагы эле туннел аркылуу чыгышы керек. Экөө тең ийгиликтүү болсо, бирок экинчиси үй дарегин билдирсе, брандмауэр эрежелеринин тартиби туура эмес, маршрут эмес.

DNS браузер кайсы дарекке чаларын чечет

Ат туннелдин ичинде чечилгенде, провайдердин чечүүчүсү жергиликтүү чечүүчү бергенден башка дарек менен жооп бере алат. Анда сиздин маршрутуңуз браузер эч качан байланышпаган дарекке колдонулат, ал эми барак туннел аркылуу эч нерсе өзгербөгөндөй жүктөлөт. Маршруттоо таблицасы туура болсо да, бул бузулуу сынган өзгөчөлүккө окшош.

Ошол аттын сурамдарын жергиликтүү чечүүчү аркылуу да жөнөтүңүз, же аттарды таптакыр өткөрүп жиберип, даректи түз текшериңиз. DNS туннелдин ичинде калып, даректи бөлүү — бул жөндөөнүн эң кеңири тараган жарым бүткөн версиясы, жана аны байкоо эң кыйын, анткени сайт иштеп турат, бирок сиз каалагандай эмес.

Маршрутизатордо ошол эле өзгөчөлүк, бир жолу, ар бир түзмөк үчүн

Туннел маршрутизатордо иштеп турса, хост маршруту маршрутизатордун саясий маршруттоо таблицасына таандык жана LAN дарбазасынын ордуна WAN дарбазасына көрсөтөт. Анын артындагы ар бир түзмөк өзгөчөлүктү мураска алат, бул агымдык куту же тармак жөндөөлөрүн өзгөртө албаган иш ноутбугу үчүн маанилүү.

Туннелди бардык башка кардарлар үчүн демейки чыгуу катары калтырыңыз, анан маршрутизатор консолунан эмес, кардар машинасынан текшериңиз. Ошол эле браузер сессиясында өзгөчөлүк сайтын жана экинчи сайтты жүктөп, чыгуу даректерин салыштырыңыз; эгер экинчиси дагы эле туннелди көрсөтсө, саясат таблицасы сиз сураганды аткарып жатат.

Маршрутизатордун жазууларына даректи, күндү жана себебин жазыңыз. Кийин жылган даректин айланасында курулган өзгөчөлүк бир жылдан кийин эч ким түшүндүрө албаган бузулууга айланат, ал эми оңдоо эски жазууну бирөө тапканча ар дайым табышмактай көрүнөт.