Cara menyalurkan satu laman web ke luar terowong WireGuard anda

Mengecualikan nama hos ialah sesuatu yang terowong tidak dapat lakukan. Namun laluan boleh menghantar satu alamat melepasi terowong dan keluar melalui get laluan rumah, dan itu biasanya cukup untuk satu laman. Masalahnya, segala yang di hilir laluan mesti bersetuju: tembok api mesti melepaskan paket keluar, DNS mesti memulangkan alamat yang anda laluan, dan laman mesti terus menggunakan alamat itu. Apabila mana-mana satu daripada tiga itu tersasar, pengecualian berhenti berfungsi tanpa mengumumkan dirinya.

Baca alamat destinasi sebelum menyentuh terowong

Muatkan laman sekali semasa terowong aktif, kemudian lihat alamat rakan yang benar-benar disambungkan oleh pelayar. Pada Linux, ss -tunp menyenaraikan alamat jauh bagi setiap soket terbuka, dan dig +short pada nama yang sama menunjukkan apa yang dipulangkan oleh penyelesai. Simpan kedua-dua nombor di hadapan anda.

Kedua-dua jawapan sering tidak sepadan, dan ketidaksepadanan itulah seluruh masalah. Laman besar meletakkan rangkaian kandungan di hadapan asalnya, jadi alamat yang dipulangkan penyelesai anda sekarang mungkin bukan yang digunakan pelayar seminit lalu. Laluan apa yang anda perhati pada soket, bukan apa yang disenaraikan oleh panduan lama. Jika jawapan terus berputar antara wilayah, pengecualian alamat ialah alat yang salah untuk laman tertentu itu.

Jalankan carian kali kedua dari rangkaian lain, dan catat jawapan IPv6 bersama jawapan IPv4. Terowong yang membawa kedua-dua keluarga memerlukan pengecualian pada kedua-duanya, jika tidak pelayar senyap kembali ke laluan IPv6 yang tidak pernah anda sentuh. Catat alamat dan tarikh di tempat yang akan anda lihat semula.

Letakkan satu laluan hos pada klien

Katakan antara muka bernama home-wg dan penghala LAN berada di 192.168.1.1. NetworkManager mengambil laluan yang get laluannya ialah penghala itu dan panjang awalan yang meliputi keseluruhan 32 bit, dan kernel mengutamakannya kerana awalan terpanjang menang.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Get laluan mesti boleh dicapai tanpa terowong; menghala lompatan seterusnya ke alamat terowong menggagalkan tujuan, kerana paket akan masuk semula ke antara muka yang anda cuba elakkan. Selepas sambungan naik semula, ip route get untuk pengecualian sepatutnya mencetak get laluan LAN, dan arahan yang sama untuk penyelesai awam sepatutnya masih mencetak peranti terowong.

Profil wg-quick tiada medan laluan, jadi pengecualian yang sama hidup dalam baris PostUp yang menambah laluan hos ke jadual utama dengan antara muka LAN sebagai perantinya. Turunkan dan naikkan semula antara muka selepas menyunting, kerana antara muka yang berjalan tidak pernah membaca semula failnya. Peraturan fwmark yang dipasang wg-quick hanya memandu paket terenkapsulasinya sendiri, jadi trafik pelayar biasa masih mengikut jadual utama dan menemui /32 anda.

Kill switch ialah perkara seterusnya yang menyekatnya

Dasar tembok api yang hanya menerima trafik pada antara muka terowong akan menggugurkan pengecualian walaupun laluan itu betul-betul tepat. Baca peraturan di sebalik suis dan bukan mempercayai suis, kerana yang melaksanakan kill switch biasanya terhad kepada nama antara muka.

Yang anda mahu ialah kebenaran sempit untuk antara muka fizikal dan satu destinasi itu, diletakkan sebelum gugur, sementara dasar lalai kekal tidak disentuh. Menjeda kill switch sepenuhnya membuktikan perkara itu, tetapi juga membiarkan mesin terdedah selagi anda lupa menghidupkannya semula.

Uji kedua-dua arah secara berasingan. Permintaan ke alamat pengecualian sepatutnya berjaya manakala permintaan ke laman tidak berkaitan masih keluar melalui terowong. Jika kedua-duanya berjaya tetapi yang kedua melaporkan alamat rumah, susunan peraturan tembok api yang salah, bukan laluan.

DNS menentukan alamat mana yang didail pelayar

Apabila nama diselesaikan di dalam terowong, penyelesai pembekal boleh menjawab dengan alamat berbeza daripada yang diberikan penyelesai tempatan. Laluan anda kemudian terpakai kepada alamat yang tidak pernah dihubungi pelayar, dan halaman dimuatkan melalui terowong seolah-olah tiada apa berubah. Kegagalan ini kelihatan seperti pengecualian yang rosak walaupun jadual penghalaan betul.

Hantar pertanyaan nama itu melalui penyelesai tempatan juga, atau langkau nama sepenuhnya dan uji alamat itu secara langsung. Memisahkan alamat sambil DNS kekal di dalam terowong ialah versi separuh siap yang paling biasa bagi persediaan ini, dan juga paling sukar untuk disedari, kerana laman itu terus berfungsi, hanya tidak seperti yang anda maksudkan.

Pengecualian yang sama pada penghala, sekali, untuk setiap peranti

Apabila terowong berjalan pada penghala, laluan hos tergolong dalam jadual penghalaan dasar penghala dan menunjuk ke get laluan WAN dan bukan LAN. Setiap peranti di belakangnya mewarisi pengecualian itu, yang penting untuk kotak penstriman atau komputer riba kerja yang tetapan rangkaiannya tidak boleh anda ubah.

Biarkan terowong sebagai jalan keluar lalai untuk setiap klien lain, kemudian sahkan dari mesin klien dan bukan dari konsol penghala. Muatkan laman pengecualian dan laman kedua dalam sesi pelayar yang sama dan bandingkan alamat keluar; jika yang kedua masih menunjukkan terowong, jadual dasar melakukan apa yang anda minta.

Catat alamat, tarikh dan sebab dalam nota penghala. Pengecualian yang dibina sekitar alamat yang kemudian berpindah menjadi kerosakan yang tiada siapa dapat jelaskan setahun kemudian, dan pembaikan sentiasa kelihatan seperti misteri sehingga seseorang menemui nota lama itu.