Kako usmeriti eno spletno stran izven svojega tunela WireGuard

Izključiti ime gostitelja je nekaj, česar tunel ne more. Pot pa lahko usmeri en naslov mimo tunela in ven skozi domači prehod, in to običajno zadostuje za eno stran. Zanka je v tem, da se mora vse po poti strinjati: požarni zid mora spustiti paket ven, DNS mora vrniti naslov, ki ste ga usmerili, in stran mora ta naslov še naprej uporabljati. Ko se kateri od treh premakne, izjema preneha delovati, ne da bi se napovedala.

Preberite ciljni naslov, preden se dotaknete tunela

Naložite stran enkrat z vklopljenim tunelom in nato poglejte naslov nasprotne strani, s katero se je brskalnik zares povezal. V Linuxu, ss -tunp izpiše oddaljeni naslov za vsako odprto vtičnico in dig +short pri istem imenu pokaže, kaj je vrnil razreševalnik. Imejte obe števili pred seboj.

Oba odgovora se pogosto ne ujemata in to neskladje je ves problem. Velike strani pred svoj izvor postavijo vsebinsko omrežje, zato naslov, ki ga razreševalnik vrača zdaj, morda ni tisti, ki ga je brskalnik uporabil pred minuto. Usmerjajte to, kar ste opazili na vtičnici, ne tega, kar našteva starejši vodnik. Če se odgovori še naprej vrtijo med regijami, je izjema naslova napačno orodje za tisto konkretno stran.

Zaženite iskanje drugič z drugega omrežja in zapišite odgovor IPv6 skupaj z odgovorom IPv4. Tunel, ki prenaša obe družini, potrebuje izjemo v obeh, sicer brskalnik tiho pade nazaj na pot IPv6, ki se je niste nikoli dotaknili. Zapišite naslove in datum nekam, kjer boste spet pogledali.

Na odjemalca postavite eno pot gostitelja

Recimo, da se vmesnik imenuje home-wg in da je usmerjevalnik LAN na 192.168.1.1. NetworkManager prevzame pot, katere prehod je ta usmerjevalnik in katere dolžina predpone pokriva vseh 32 bitov, jedro pa jo ima raje, ker zmaga najdaljša predpona.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Prehod mora biti dosegljiv brez tunela; usmeritev naslednjega skoka na naslov tunela pokvari namen, ker bi paket spet vstopil v vmesnik, ki se mu poskušate izogniti. Ko se povezava spet dvigne, ip route get naj bi za izjemo izpisal prehod LAN, in isti ukaz za javni razreševalnik naj bi še vedno izpisal napravo tunela.

Profil wg-quick nima polja poti, zato ista izjema živi v vrstici PostUp , ki doda pot gostitelja v glavno tabelo z vmesnikom LAN kot svojo napravo. Po urejanju vmesnik spustite in znova dvignite, ker delujoči vmesnik nikoli znova ne prebere svoje datoteke. Pravila fwmark, ki jih namesti wg-quick, usmerjajo le njegove lastne zapakirane pakete, zato običajni promet brskalnika še vedno sledi glavni tabeli in najde vaš /32.

Kill stikalo je naslednja stvar, ki to blokira

Politika požarnega zidu, ki prepušča promet le na vmesniku tunela, bo izjemo zavrgla tudi takrat, ko je pot popolnoma pravilna. Berite pravila za stikalom, namesto da bi stikalu zaupali, ker so tista, ki izvajajo kill switch, običajno omejena na ime vmesnika.

Želite ozko dovoljenje za fizični vmesnik in tisto eno ciljno točko, postavljeno pred zavrženjem, medtem ko privzeta politika ostane nedotaknjena. Popolna zaustavitev kill stikala dokaže poanto, a tudi pusti stroj izpostavljen, dokler ne pozabite, da bi ga znova vklopili.

Preizkusite obe smeri ločeno. Zahteva na naslov izjeme bi morala uspeti, medtem ko zahteva na nepovezano stran še vedno odide skozi tunel. Če obe uspeta, a druga poroča domači naslov, je napačen vrstni red pravil požarnega zidu, ne pa pot.

DNS odloči, na kateri naslov brskalnik kliče

Ko se ime razreši znotraj tunela, lahko ponudnikov razreševalnik odgovori z drugim naslovom kot lokalni. Vaša pot se nato uporabi za naslov, s katerim brskalnik nikoli ne stopi v stik, in stran se naloži skozi tunel, kot da se ni nič spremenilo. Ta okvara je videti kot pokvarjena izjema, čeprav je usmerjevalna tabela pravilna.

Pošljite poizvedbe za to ime tudi skozi lokalni razreševalnik, ali pa imena povsem preskočite in naslov preizkusite neposredno. Ločevanje naslova, medtem ko DNS ostane znotraj tunela, je najpogostejša napol dokončana različica te nastavitve in jo je tudi najtežje opaziti, ker stran še naprej deluje, le ne tako, kot ste nameravali.

Ista izjema na usmerjevalniku, enkrat, za vsako napravo

Ko tunel teče na usmerjevalniku, pot gostitelja spada v usmerjevalno tabelo politik usmerjevalnika in kaže na prehod WAN namesto na prehod LAN. Vsaka naprava za njim podeduje izjemo, kar je pomembno za pretočno škatlo ali službeni prenosnik, katerega omrežnih nastavitev ne morete spremeniti.

Pustite tunel kot privzeti izhod za vse druge odjemalce in nato preverite s klikovega stroja, ne s konzole usmerjevalnika. Naložite stran izjeme in drugo stran v isti seji brskalnika ter primerjajte izhodne naslove; če druga še vedno kaže tunel, tabela politik dela to, kar ste zahtevali.

Zapišite naslov, datum in razlog v opombe usmerjevalnika. Izjema, zgrajena okoli naslova, ki se pozneje preseli, postane okvara, ki je nihče ne zna razložiti čez leto dni, popravek pa je vedno videti kot uganka, dokler nekdo ne najde stare opombe.