तुमच्या WireGuard बोगद्याबाहेर एक वेबसाइट कशी राउट करावी

होस्टनेम वगळणे ही गोष्ट बोगदा करू शकत नाही। तथापि मार्ग एका पत्त्याला बोगद्याच्या बाहेर आणि घराच्या गेटवेमधून बाहेर पाठवू शकतो, आणि एका साइटसाठी तेवढे सहसा पुरते। अडचण अशी आहे की मार्गानंतरच्या सर्व गोष्टींनी सहमत व्हावे लागते: फायरवॉलने पॅकेट बाहेर जाऊ द्यावे, DNS ने तुम्ही राउट केलेला पत्ता परत द्यावा, आणि साइटने तो पत्ता वापरणे सुरू ठेवावे। तीनपैकी कोणतेही एक सरकले तर अपवाद स्वतःची घोषणा न करता काम करणे थांबवतो।

बोगद्याला हात लावण्यापूर्वी गंतव्य पत्ता वाचा

बोगदा सुरू असताना साइट एकदा लोड करा, नंतर ब्राउझरने प्रत्यक्षात ज्या पीअर पत्त्याशी कनेक्ट केले तो पाहा। Linux वर, ss -tunp प्रत्येक उघड्या सॉकेटचा दूरचा पत्ता सूचीबद्ध करते, आणि dig +short त्याच नावावर रिझोल्व्हरने काय परत दिले ते दाखवते। दोन्ही आकडे तुमच्यासमोर ठेवा।

दोन्ही उत्तरे अनेकदा जुळत नाहीत, आणि तोच फरक संपूर्ण समस्या आहे। मोठ्या साइट्स त्यांच्या मूळासमोर कंटेंट नेटवर्क ठेवतात, म्हणून तुमचा रिझोल्व्हर आता जो पत्ता परत देतो तो ब्राउझरने एका मिनिटापूर्वी वापरलेला असू शकत नाही। तुम्ही सॉकेटवर जे पाहिले ते राउट करा, जुन्या मार्गदर्शकात सूचीबद्ध असलेले नाही। उत्तरे प्रदेशांमध्ये फिरत राहिली तर त्या विशिष्ट साइटसाठी पत्ता-अपवाद चुकीचे साधन आहे।

दुसऱ्या नेटवर्कवरून लुकअप दुसऱ्यांदा चालवा, आणि IPv4 उत्तरासोबत IPv6 उत्तरही नोंदवा। दोन्ही कुटुंबे वाहून नेणाऱ्या बोगद्याला दोन्हीत अपवाद लागतो, अन्यथा ब्राउझर तुम्ही कधीही न छुटलेल्या IPv6 मार्गाकडे शांतपणे परत जातो। पत्ते आणि तारीख पुन्हा पाहाल अशा ठिकाणी लिहा।

क्लायंटवर एक होस्ट मार्ग ठेवा

समजा इंटरफेसचे नाव home-wg आहे आणि LAN राउटर 192.168.1.1 वर आहे। NetworkManager असा मार्ग घेतो ज्याचा गेटवे तोच राउटर आहे आणि ज्याची प्रीफिक्स लांबी पूर्ण 32 बिट व्यापते, आणि कर्नल त्याला प्राधान्य देतो कारण सर्वात लांब प्रीफिक्स जिंकतो।

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

गेटवे बोगद्याशिवाय पोहोचण्यायोग्य असावा; पुढील हॉप बोगद्याच्या पत्त्याकडे दाखवणे हेतूच मोडते, कारण पॅकेट तुम्ही टाळू पाहत असलेल्या इंटरफेसमध्ये पुन्हा प्रवेश करेल। कनेक्शन पुन्हा उभे राहिल्यानंतर, ip route get अपवादासाठी LAN गेटवे छापले पाहिजे, आणि सार्वजनिक रिझोल्व्हरसाठी तोच आदेश अजूनही बोगदा उपकरण छापला पाहिजे।

wg-quick प्रोफाइलमध्ये मार्ग फील्ड नसते, म्हणून तोच अपवाद अशा PostUp ओळीत राहतो जी होस्ट मार्ग LAN इंटरफेसला त्याचे उपकरण मानून मुख्य तक्त्यात जोडते। संपादनानंतर इंटरफेस खाली आणि पुन्हा वर करा, कारण चालू असलेला इंटरफेस कधीही त्याची फाइल पुन्हा वाचत नाही। wg-quick स्थापित करत असलेले fwmark नियम फक्त त्याची स्वतःची एन्कॅप्सुलेटेड पॅकेट्स निर्देशित करतात, म्हणून सामान्य ब्राउझर रहदारी अजूनही मुख्य तक्त्याचे अनुसरण करते आणि तुमचा /32 शोधते।

किल स्विच ही पुढील गोष्ट आहे जी ते अडवते

फक्त बोगदा इंटरफेसवर रहदारी स्वीकारणारे फायरवॉल धोरण मार्ग अगदी बरोबर असतानाही अपवाद टाकून देईल। टॉगलवर विश्वास ठेवण्याऐवजी टॉगलमागील नियम वाचा, कारण किल स्विच लागू करणारे नियम सहसा इंटरफेस नावापुरते मर्यादित असतात।

तुम्हाला हवी आहे भौतिक इंटरफेस आणि त्या एका गंतव्यासाठी अरुंद परवानगी, ड्रॉपपूर्वी ठेवलेली, तर डीफॉल्ट धोरण अस्पर्शित राहते। किल स्विच पूर्णपणे थांबवणे मुद्दा सिद्ध करते, पण तो पुन्हा सुरू करायचे विसराल तोपर्यंत यंत्र उघडेही ठेवते।

दोन्ही दिशा वेगवेगळ्या तपासा। अपवादाच्या पत्त्यावरील विनंती यशस्वी व्हायला हवी, तर असंबंधित साइटवरील विनंती अजूनही बोगद्यातून बाहेर जायला हवी। दोन्ही यशस्वी झाल्या पण दुसरी घरचा पत्ता सांगत असेल, तर फायरवॉल नियमांचा क्रम चुकीचा आहे, मार्ग नाही।

ब्राउझर कोणत्या पत्त्यावर डायल करेल हे DNS ठरवते

जेव्हा नाव बोगद्याच्या आत सोडवले जाते, तेव्हा प्रदात्याचा रिझोल्व्हर स्थानिकाने दिल्यापेक्षा वेगळ्या पत्त्यासह उत्तर देऊ शकतो। मग तुमचा मार्ग असा पत्ता लागू होतो ज्याशी ब्राउझर कधीही संपर्क करत नाही, आणि पान काहीही बदलले नसल्यासारखे बोगद्यातून लोड होते। राउटिंग तक्ता बरोबर असतानाही हा अपयश तुटलेल्या अपवादासारखे दिसते।

त्या नावाच्या क्वेरी स्थानिक रिझोल्व्हरमधूनही पाठवा, किंवा नावे पूर्णपणे वगळून पत्ता थेट तपासा। DNS बोगद्याच्या आत ठेवून पत्ता विभागणे ही या सेटअपची सर्वात सामान्य अर्धवट पूर्ण आवृत्ती आहे, आणि ती लक्षात घेणे सर्वात कठीणही आहे, कारण साइट काम करत राहते, फक्त तुम्हाला हवे होते तसे नाही।

राउटरवर तोच अपवाद, एकदा, प्रत्येक डिव्हाइससाठी

बोगदा राउटरवर चालत असताना, होस्ट मार्ग राउटरच्या धोरण राउटिंग तक्त्यात येतो आणि LAN गेटवेऐवजी WAN गेटवेकडे निर्देश करतो। त्यामागील प्रत्येक डिव्हाइस अपवाद वारसाने घेते, जे स्ट्रीमिंग बॉक्स किंवा नेटवर्क सेटिंग्ज बदलता येत नाहीत अशा कामाच्या लॅपटॉपसाठी महत्त्वाचे आहे।

इतर प्रत्येक क्लायंटसाठी बोगदा डीफॉल्ट निर्गम ठेवा, नंतर राउटर कन्सोलऐवजी क्लायंट मशीनवरून पडताळा। त्याच ब्राउझर सत्रात अपवाद साइट आणि दुसरी साइट लोड करा आणि निर्गम पत्त्यांची तुलना करा; दुसरीने अजूनही बोगदा दाखवला तर धोरण तक्ता तुम्ही मागितले तेच करत आहे।

राउटरच्या नोंदींमध्ये पत्ता, तारीख आणि कारण लिहा। नंतर सरकणाऱ्या पत्त्याभोवती बांधलेला अपवाद एका वर्षानंतर कोणीही स्पष्ट करू शकत नाही अशी खराबी बनतो, आणि कोणाला जुनी नोंद सापडेपर्यंत उपाय नेहमी कोडेसारखा वाटतो।