Korleis rute eitt nettstad utanom WireGuard-tunnelen din

Å utelate eit vertsnamn er noko ein tunnel ikkje kan gjere. Ei rute kan likevel sende éi einskild adresse forbi tunnelen og ut gjennom heimegatewayen, og det er vanlegvis nok for eitt nettstad. Haken er at alt nedstraums for ruta må vere samd: brannmuren må sleppe pakken ut, DNS må levere tilbake adressa du ruta, og nettstaden må halde fram med å bruke den adressa. Når ein av dei tre driv, sluttar unntaket å verke utan å varsle om det.

Les destinasjonsadressa før du rører tunnelen

Last nettstaden éin gong med tunnelen oppe, og sjå deretter på peer-adressa nettlesaren faktisk kopla til. På Linux, ss -tunp listar fjernadressa for kvar open socket, og dig +short på same namn viser kva resolvaren returnerte. Hald båe tala framfor deg.

Dei to svara er ofte usamde, og usemja er heile problemet. Store nettstadar set eit innhaldsnettverk framfor opphavet sitt, så adressa resolvaren din returnerer no, er kanskje ikkje den nettlesaren brukte for eit minutt sidan. Rut det du observerte på socketen, ikkje det ei eldre rettleiing listar opp. Viss svara held fram med å rotere mellom regionar, er eit adresseunntak feil verktøy for nettopp den nettstaden.

Køyr oppslaget ein gong til frå eit anna nettverk, og noter IPv6-svaret saman med IPv4-svaret. Ein tunnel som ber båe familiane treng eit unntak i båe, elles fell nettlesaren lydlaust tilbake til IPv6-vegen du aldri rørte. Skriv ned adressene og datoen ein stad du vil sjå igjen.

Set éi vertsrute på klienten

Anta at grensesnittet heiter home-wg og at LAN-rutaren står på 192.168.1.1. NetworkManager tek ei rute der gatewayen er den rutaren og der prefikslengda dekkjer alle 32 bita, og kjernen føretrekkjer ho fordi det lengste prefikset vinn.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Gatewayen må vere nåbar utan tunnelen; å peike neste hopp mot tunneladressa øydelegg føremålet, fordi pakken ville gå inn i grensesnittet du prøver å unngå igjen. Når tilkoplinga er oppe igjen, ip route get for unntaket skal skrive ut LAN-gatewayen, og same kommando for ein offentleg resolvar skal framleis skrive ut tunneleininga.

Ein wg-quick-profil har ikkje noko ruterfelt, så det same unntaket bur i ei PostUp -linje som legg vertsruta til hovudtabellen med LAN-grensesnittet som eining. Ta grensesnittet ned og opp etter redigering, fordi eit køyrande grensesnitt aldri les fila si på nytt. fwmark-reglane wg-quick installerer styrer berre sine eigne innkapsla pakkar, så vanleg nettlesartrafikk følgjer framleis hovudtabellen og finn /32-en din.

Kill switch er det neste som blokkerer det

Ein brannmurpolicy som berre slepp trafikk inn på tunnelegrensesnittet, vil forkaste unntaket sjølv når ruta er heilt riktig. Les reglane bak brytaren i staden for å stole på brytaren, fordi dei som implementerer kill switch vanlegvis er avgrensa til eit grensesnittnamn.

Det du vil ha, er ei smal løyve for det fysiske grensesnittet og det eine målet, plassert før forkastinga, medan standardpolicyen blir urørt. Å pause kill switch heilt beviser poenget, men lèt òg maskina stå open så lenge du gløymer å slå han på igjen.

Test dei to retningane kvar for seg. Ein førespurnad til unntaksadressa skal lukkast, medan ein førespurnad til ein ikkje-relatert nettstad framleis går ut gjennom tunnelen. Viss båe lukkast, men den andre rapporterer heimeadressa, er rekkjefølgja på brannmurreglane feil, ikkje ruta.

DNS avgjer kva adresse nettlesaren ringjer

Når namnet blir løyst inne i tunnelen, kan resolvaren til leverandøren svare med ei anna adresse enn den lokale gjorde. Ruta di gjeld då for ei adresse nettlesaren aldri kontaktar, og sida blir lasta gjennom tunnelen som om ingenting var endra. Denne feilen ser ut som eit øydelagt unntak sjølv når rutetabellen er korrekt.

Send spørjingane for det namnet gjennom den lokale resolvaren òg, eller hopp heilt over namn og test adressa direkte. Å dele adressa medan DNS blir verande inne i tunnelen er den vanlegaste halvferdige versjonen av dette oppsettet, og han er òg vanskelegast å leggje merke til, fordi nettstaden held fram med å verke, berre ikkje slik du meinte.

Same unntak på rutaren, éin gong, for kvar eining

Når tunnelen køyrer på rutaren, høyrer vertsruta til policy-rutingtabellen til rutaren og peikar mot WAN-gatewayen i staden for LAN-gatewayen. Kvar eining bak han arvar unntaket, noko som betyr noko for ein strømmeboks eller ein arbeidslaptop der du ikkje kan endre nettverksinnstillingane.

Lat tunnelen vere standardutgangen for alle andre klientar, og verifiser deretter frå ein klientmaskin i staden for frå konsollen til rutaren. Last unntaksnettstaden og ein andre nettstad i same nettlesarøkt og samanlikn utgangsadressene; viss den andre framleis viser tunnelen, gjer policytabellen det du bad om.

Skriv ned adressa, datoen og årsaka i notata til rutaren. Eit unntak bygt rundt ei adresse som seinare flyttar seg, blir ein feil ingen kan forklare om eit år, og rettinga ser alltid ut som ein gåte til nokon finn den gamle notata.