Wéi een eenzelen Internetsite baussent Ärem WireGuard-Tunnel leet

En Hostnumm auszeschléissen ass eppes, wat en Tunnel net kann. Eng Route kann awer eng eenzeg Adress um Tunnel laanscht an duerch den Heem-Gateway eraus schécken, an dat ass meeschtens genuch fir eng Säit. Den Haken ass, datt alles ënner der Route sech eens muss sinn: d'Firewall muss de Pak erausloossen, den DNS muss d'Adress zréckginn, déi Dir geleet hutt, an d'Säit muss déi Adress weider benotzen. Wann een vun den dräi drifft, hält d'Ausnam op ze funktionéieren, ouni sech unzekënnegen.

Liest d'Destinatiounsadress, ier Dir den Tunnel beréiert

Luet d'Säit eemol mat aktivem Tunnel a kuckt dann d'Peer-Adress un, mat där de Browser sech tatsächlech verbonnen huet. Op Linux, ss -tunp lëscht d'wäit Adress fir all oppene Socket op, an dig +short op deem selwechten Numm weist, wat de Resolver zréckginn huet. Halt béid Zuelen virun Iech.

Déi zwee Äntwerten stëmmen dacks net iwwerenee, an déi Differenz ass de ganzen Problem. Grouss Säiten setzen en Inhaltsnetzwierk virun hir Originn, sou datt d'Adress, déi Äre Resolver elo zréckgëtt, vläicht net déi ass, déi de Browser virun enger Minutt benotzt huet. Leet dat, wat Dir um Socket observéiert hutt, net dat, wat en ale Guide oplëscht. Wann d'Äntwerten tëschent Regiounen dréinen, ass eng Adressausnam dat falscht Instrument fir déi spezifesch Säit.

Maacht de Lookup eng zweet Kéier vun engem aneren Netzwierk, an notiéiert d'IPv6-Äntwert zesumme mat der IPv4-Äntwert. En Tunnel, deen déi zwou Familljen dréit, brauch eng Ausnam an deene béiden, soss fällt de Browser roueg op dee vum IPv6-Wee zréck, deen Dir ni beréiert hutt. Schriift d'Adressen an den Datum dohi, wou Dir nach eng Kéier kuckt.

Setzt eng Hostroute um Client

Unzehuelen, d'Interface heescht home-wg an de LAN-Router steet op 192.168.1.1. Den NetworkManager hëlt eng Route, där hire Gateway dee Router ass an där hir Präfixlängt déi voll 32 Bit deckt, an de Kernel bevorzugt se, well de längste Präfix gewënnt.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

De Gateway muss ouni den Tunnel erreechbar sinn; de nächste Sprong op d'Tunneladress ze weisen, verfeilt den Zweck, well de Pak erëm an d'Interface géif eran, déi Dir versicht ze vermeiden. Nodeems d'Verbindung erëm opgeet, ip route get fir d'Ausnam soll de LAN-Gateway drécken, an deen selwechte Befehl fir e ëffentleche Resolver soll nach ëmmer den Tunnelapparat drécken.

En wg-quick-Profil huet kee Rutenfeld, dofir läit déi selwecht Ausnam an enger PostUp Linn, déi d'Hostroute mat der LAN-Interface als hiren Apparat an d'Haapttabelle bäisetzt. Maacht d'Interface no der Ännerung erof an erëm erop, well eng lafend Interface hir Datei ni erëm liest. D'fwmark-Reegele, déi wg-quick installéiert, leeden nëmmen seng eege gekapselt Paken, dofir follegt normale Browserverkéier nach ëmmer der Haapttabelle an fënnt Är /32.

De Kill Switch ass dat Nächst, wat et blockéiert

Eng Firewall-Politik, déi Verkéier nëmmen op der Tunnel-Interface erlaabt, werft d'Ausnam ewech, och wann d'Route genee richteg ass. Liest d'Reegele hannert dem Schalter, amplaz dem Schalter ze vertrauen, well déi, déi e Kill Switch ëmsetzen, meeschtens op en Interface-Numm limitéiert sinn.

Wat Dir wëllt, ass eng schmuel Erlaabnis fir d'physesch Interface an dat eenzegt Zil, virun der Verwerfung placéiert, während d'Standardpolitik onberéiert bleift. De Kill Switch komplett a Paus ze setzen beweist de Punkt, awer léisst d'Maschinn och opgedeckt, soulaang Dir vergiesst, hien erëm anzeschalten.

Test d'zwou Richtungen getrennt. Eng Ufro un d'Ausnamadress soll geléngen, während eng Ufro un eng onverbonnen Säit nach ëmmer duerch den Tunnel erausgeet. Wann béid geléngen, awer déi zweet d'Heemadress mellt, ass d'Reiefolleg vun de Firewall-Reegele falsch, net d'Route.

Den DNS entscheet, wéi eng Adress de Browser wiählt

Wann den Numm am Tunnel opgeléist gëtt, kann de Resolver vum Provider mat enger anerer Adress äntweren wéi deen de lokale ginn huet. Dann gëllt Är Route fir eng Adress, déi de Browser ni kontaktéiert, an d'Säit luet duerch den Tunnel, wéi wann näischt geännert hätt. Dësen Ausfall gesäit aus wéi eng futti Ausnam, och wann d'Routentabelle richteg ass.

Schéckt d'Froen vun deem Numm och duerch de lokale Resolver, oder spréngt d'Nimm komplett iwwer a testt d'Adress direkt. D'Adress ze spliten, während den DNS am Tunnel bleift, ass déi heefegst hallef fäerdeg Versioun vun dësem Setup, an et ass och déi schwéierst ze bemierken, well d'Säit weider funktionnéiert, just net esou wéi Dir et wollt.

Déi selwecht Ausnam um Router, eemol, fir all Apparat

Wann den Tunnel um Router leeft, gehéiert d'Hostroute an d'Politik-Routentabelle vum Router a weist op de WAN-Gateway amplaz op de LAN-Gateway. All Apparat hannendrun ierft d'Ausnam, wat fir eng Streaming-Box oder e Geschäfts-Laptop wichteg ass, deem seng Netzwierkastellungen Dir net ka ännern.

Loosst den Tunnel als Standardausgang fir all anere Client, a verifizéiert dann vun enger Clientmaschinn amplaz vun der Routerkonsol. Luet d'Ausnam-Säit an eng zweet Säit an der selwechter Browsersitzung a vergläicht d'Ausgangsadressen; wann déi zweet nach ëmmer den Tunnel weist, mécht d'Politiktabell dat, wat Dir gefrot hutt.

Schriift d'Adress, den Datum an de Grond an d'Notize vum Router. Eng Ausnam, déi ëm eng Adress gebaut ass, déi méi spéit fortgeet, gëtt e Feeler, deen een an engem Joer net erkläre kann, an d'Korrektur gesäit ëmmer aus wéi e Rätsel, bis een déi al Notiz fënnt.