Kā maršrutēt vienu vietni ārpus sava WireGuard tuneļa

Izslēgt resursdatora nosaukumu ir kaut kas, ko tunelis nevar izdarīt. Tomēr maršruts var nosūtīt vienu adresi garām tunelim un ārā pa mājas vārteju, un ar to parasti pietiek vienai vietnei. Āķis ir tāds, ka visam zemāk par maršrutu jāsakrīt: ugunsmūrim jāizlaiž pakete, DNS jāatgriež adrese, kuru jūs maršrutējāt, un vietnei jāturpina izmantot šo adresi. Kad kāds no trim novirzās, izņēmums pārstāj darboties, to nepaziņojot.

Izlasiet galamērķa adresi, pirms pieskaraties tunelim

Ielādējiet vietni vienreiz ar ieslēgtu tuneli, pēc tam apskatiet vienādranga adresi, ar kuru pārlūks faktiski savienojās. Linux, ss -tunp uzskaita attālo adresi katrai atvērtai ligzdai, un dig +short ar to pašu nosaukumu parāda, ko atgrieza risinātājs. Turiet abus skaitļus sev priekšā.

Abas atbildes bieži nesakrīt, un šī nesaskaņa ir visa problēma. Lielas vietnes sava avota priekšā liek satura tīklu, tāpēc adrese, ko risinātājs atgriež tagad, var nebūt tā, kuru pārlūks izmantoja pirms minūtes. Maršrutējiet to, ko novērojāt ligzdā, nevis to, ko uzskaita vecāka rokasgrāmata. Ja atbildes turpina griezties starp reģioniem, adreses izņēmums ir nepareizais instruments tieši šai vietnei.

Palaidiet meklēšanu otro reizi no cita tīkla un pierakstiet IPv6 atbildi kopā ar IPv4. Tunelim, kas pārvadā abas saimes, vajadzīgs izņēmums abās, citādi pārlūks klusi atgriežas uz IPv6 ceļa, kuram jūs nekad neesat pieskāries. Pierakstiet adreses un datumu vietā, kur paskatīsities vēlreiz.

Ievietojiet vienu resursdatora maršrutu klientā

Pieņemsim, ka saskarne ir nosaukta home-wg un LAN maršrutētājs atrodas 192.168.1.1. NetworkManager paņem maršrutu, kura vārteja ir šis maršrutētājs un kura prefiksa garums aptver visus 32 bitus, un kodols to dod priekšroku, jo uzvar garākais prefikss.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Vārtejai jābūt sasniedzamai bez tuneļa; nākamā lēciena norādīšana uz tuneļa adresi izjauc mērķi, jo pakete atkal iekļūtu saskarnē, kuras izvairīšanos jūs cenšaties panākt. Kad savienojums atkal paceļas, ip route get izņēmumam vajadzētu izdrukāt LAN vārteju, un tai pašai komandai publiskam risinātājam joprojām vajadzētu izdrukāt tuneļa ierīci.

wg-quick profilā nav maršrutu lauka, tāpēc tas pats izņēmums dzīvo rindā PostUp , kas pievieno resursdatora maršrutu galvenajai tabulai ar LAN saskarni kā tās ierīci. Pēc rediģēšanas nolaidiet un atkal paceliet saskarni, jo strādājoša saskarne nekad nolasīs savu failu no jauna. fwmark noteikumi, ko instalē wg-quick, vada tikai tā paša iekapsulētās paketes, tāpēc parastā pārlūka plūsma joprojām seko galvenajai tabulai un atrod jūsu /32.

Kill switch ir nākamā lieta, kas to bloķē

Ugunsmūra politika, kas pieļauj trafiku tikai tuneļa saskarnē, izmetīs izņēmumu pat tad, ja maršruts ir pilnīgi pareizs. Lasiet noteikumus aiz slēdža, nevis uzticieties slēdžam, jo tie, kas īsteno kill switch, parasti ir ierobežoti ar saskarnes nosaukumu.

Jūs gribat šauru atļauju fiziskajai saskarnei un tam vienam galamērķim, novietotu pirms nomešanas, kamēr noklusējuma politika paliek neskarta. Pilnīga kill switch apturēšana pierāda būtību, bet arī atstāj mašīnu atklātu tik ilgi, kamēr aizmirstat to atkal ieslēgt.

Pārbaudiet abus virzienus atsevišķi. Pieprasījumam uz izņēmuma adresi vajadzētu izdoties, kamēr pieprasījums uz nesaistītu vietni joprojām iziet caur tuneli. Ja abi izdodas, bet otrais ziņo mājas adresi, nepareiza ir ugunsmūra noteikumu secība, nevis maršruts.

DNS izlemj, uz kuru adresi pārlūks zvana

Kad nosaukums tiek atrisināts tuneļa iekšienē, pakalpojumu sniedzēja risinātājs var atbildēt ar citu adresi nekā vietējais. Tad jūsu maršruts attiecas uz adresi, ar kuru pārlūks nekad nesazinās, un lapa ielādējas caur tuneli, it kā nekas nebūtu mainījies. Šī kļūme izskatās kā salauzts izņēmums, lai gan maršrutēšanas tabula ir pareiza.

Sūtiet tā nosaukuma vaicājumus arī caur vietējo risinātāju, vai pilnībā izlaidiet nosaukumus un pārbaudiet adresi tieši. Adreses sadalīšana, atstājot DNS tuneļa iekšienē, ir visizplatītākā pusgatavā šī iestatījuma versija, un to arī visgrūtāk pamanīt, jo vietne turpina darboties, tikai ne tā, kā jūs gribējāt.

Tas pats izņēmums maršrutētājā, vienreiz, katram ierīcei

Kad tunelis darbojas maršrutētājā, resursdatora maršruts pieder maršrutētāja politikas maršrutēšanas tabulai un norāda uz WAN vārteju, nevis LAN. Katra ierīce aiz tā manto izņēmumu, kas ir svarīgi straumēšanas kastei vai darba klēpjdatoram, kura tīkla iestatījumus jūs nevarat mainīt.

Atstājiet tuneli kā noklusējuma izeju visiem pārējiem klientiem, pēc tam pārbaudiet no klienta mašīnas, nevis no maršrutētāja konsoles. Ielādējiet izņēmuma vietni un otru vietni tajā pašā pārlūka sesijā un salīdziniet izejas adreses; ja otrā joprojām rāda tuneli, politikas tabula dara to, ko jūs lūdzāt.

Pierakstiet adresi, datumu un iemeslu maršrutētāja piezīmēs. Izņēmums, kas celts ap adresi, kura vēlāk pārvietojas, kļūst par kļūdu, ko pēc gada neviens nevarēs izskaidrot, un labojums vienmēr izskatās kā mīkla, līdz kāds atrod veco piezīmi.