Ako nasmerovať jednu webovú stránku mimo svojho tunela WireGuard

Vylúčiť názov hostiteľa je niečo, čo tunel nedokáže. Trasa však môže nasmerovať jednu adresu mimo tunela a von cez domácu bránu, a to zvyčajne stačí na jednu stránku. Háčik je v tom, že všetko po trase musí súhlasiť: firewall musí pustiť paket von, DNS musí vrátiť adresu, ktorú ste nasmerovali, a stránka musí túto adresu ďalej používať. Keď sa ktorákoľvek z tých troch vecí posunie, výnimka prestane fungovať bez toho, aby sa ohlásila.

Prečítajte si cieľovú adresu, skôr než sa dotknete tunela

Načítajte stránku raz so zapnutým tunelom a potom sa pozrite na adresu protistrany, ku ktorej sa prehliadač skutočne pripojil. V Linuxe, ss -tunp vypisuje vzdialenú adresu každého otvoreného socketu a dig +short pre rovnaký názov ukazuje, čo vrátil resolver. Majte obe čísla pred sebou.

Obe odpovede sa často rozchádzajú a ten rozpor je celý problém. Veľké stránky stavajú pred svoj pôvod obsahovú sieť, takže adresa, ktorú resolver vracia teraz, nemusí byť tá, ktorú prehliadač použil pred minútou. Smerujte to, čo ste videli na sockete, nie to, čo uvádza staršia príručka. Ak sa odpovede stále točia medzi oblasťami, adresná výnimka je pre tú konkrétnu stránku nesprávny nástroj.

Spustite vyhľadanie druhýkrát z inej siete a poznamenajte si odpoveď IPv6 spolu s tou IPv4. Tunel, ktorý nesie obe rodiny, potrebuje výnimku v oboch, inak prehliadač ticho spadne späť na cestu IPv6, ktorej ste sa nikdy nedotkli. Uložte adresy a dátum niekam, kde sa na ne znova pozriete.

Nasaďte na klienta jednu trasu hostiteľa

Predpokladajme, že rozhranie sa volá home-wg a router LAN sedí na 192.168.1.1. NetworkManager prevezme trasu, ktorej bránou je tento router a ktorej dĺžka prefixu pokrýva všetkých 32 bitov, a jadro ju uprednostní, pretože vyhráva najdlhší prefix.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Brána musí byť dosiahnuteľná bez tunela; nasmerovanie ďalšieho skoku na adresu tunela marí účel, pretože paket by znova vstúpil do rozhrania, ktorému sa snažíte vyhnúť. Keď sa pripojenie znova zdvihne, ip route get pre výnimku by mala vypísať bránu LAN a ten istý príkaz pre verejný resolver by mal stále vypísať zariadenie tunela.

Profil wg-quick nemá pole trás, takže tá istá výnimka žije v riadku PostUp ktorý pridáva trasu hostiteľa do hlavnej tabuľky s rozhraním LAN ako svojím zariadením. Po úprave rozhranie stiahnite a znova zdvihnite, pretože bežiace rozhranie nikdy znova nenačíta svoj súbor. Pravidlá fwmark, ktoré wg-quick inštaluje, riadia len jeho vlastné zapuzdrené pakety, takže bežná prevádzka prehliadača stále sleduje hlavnú tabuľku a nájde vašu /32.

Kill switch je ďalšia vec, ktorá to zablokuje

Firewallová politika, ktorá prepúšťa prevádzku len na rozhraní tunela, výnimku zahodí, aj keď je trasa úplne správna. Čítajte pravidlá za prepínačom namiesto toho, aby ste prepínaču verili, pretože tie, ktoré implementujú kill switch, bývajú obmedzené názvom rozhrania.

Chcete úzke povolenie pre fyzické rozhranie a ten jeden cieľ, umiestnené pred zahodením, zatiaľ čo predvolená politika zostane nedotknutá. Úplné pozastavenie kill switchu dokazuje pointu, ale tiež necháva stroj vystavený dovtedy, kým zabudnete ho znova zapnúť.

Otestujte oba smery zvlášť. Požiadavka na adresu výnimky by mala uspieť, zatiaľ čo požiadavka na nesúvisiacu stránku stále vychádza tunelom. Ak obe uspejú, ale druhá hlási domácu adresu, je zlé poradie firewallových pravidiel, nie trasa.

DNS rozhoduje, na ktorú adresu prehliadač vytáča

Keď sa názov vyrieši vnútri tunela, resolver poskytovateľa môže odpovedať inou adresou, než akú dal miestny. Vaša trasa sa potom vzťahuje na adresu, ktorú prehliadač nikdy nekontaktuje, a stránka sa načíta tunelom, akoby sa nič nezmenilo. Táto porucha vyzerá ako rozbitá výnimka, aj keď je smerovacia tabuľka správna.

Pošlite dopyty na tento názov aj cez miestny resolver, alebo názvy úplne preskočte a otestujte adresu priamo. Rozdelenie adresy, zatiaľ čo DNS zostáva vnútri tunela, je najbežnejšia napoly hotová verzia tohto nastavenia a je aj najťažšie postrehnuteľná, pretože stránka funguje ďalej, len nie tak, ako ste zamýšľali.

Rovnaká výnimka na routeri, raz, pre každé zariadenie

Keď tunel beží na routeri, trasa hostiteľa patrí do tabuľky politického smerovania routera a ukazuje na bránu WAN namiesto brány LAN. Každé zariadenie za ním výnimku dedí, čo je dôležité pre streamovaciu krabicu alebo pracovný notebook, ktorého sieťové nastavenia nemôžete meniť.

Nechajte tunel ako predvolený východ pre každého ďalšieho klienta a potom to overte z klientského stroja, nie z konzoly routera. Načítajte stránku výnimky a druhú stránku v tej istej relácii prehliadača a porovnajte výstupné adresy; ak druhá stále ukazuje tunel, tabuľka politik robí to, čo ste žiadali.

Zapíšte adresu, dátum a dôvod do poznámok routera. Výnimka postavená okolo adresy, ktorá sa neskôr presunie, sa stane poruchou, ktorú za rok nikto nevysvetlí, a oprava vždy vyzerá ako záhada, kým niekto nenájde starú poznámku.