Si të drejtoni një faqe interneti jashtë tunelit tuaj WireGuard

Përjashtimi i një emri hosti është diçka që një tunel nuk mund ta bëjë. Megjithatë një rrugë mund të dërgojë një adresë të vetme përtej tunelit dhe jashtë përmes portës së shtëpisë, dhe kjo zakonisht mjafton për një faqe. Pengesa është se gjithçka në rrjedhën e poshtme të rrugës duhet të pajtohet: firewalls duhet ta lërë paketën të dalë, DNS duhet të kthejë adresën që drejtuat, dhe faqja duhet të vazhdojë ta përdorë atë adresë. Kur ndonjëra nga të treat devijon, përjashtimi ndalon së funksionuari pa u shpallur.

Lexoni adresën e destinacionit përpara se të prekni tunelin

Ngarkoni faqen një herë me tunelin aktiv dhe më pas shikoni adresën e homologut me të cilën shfletuesi u lidh vërtet. Në Linux, ss -tunp liston adresën e largët për çdo socket të hapur, dhe dig +short për të njëjtin emër tregon çfarë ktheu zgjidhësi. Mbani të dy numrat përpara jush.

Të dy përgjigjet shpesh nuk përputhen, dhe kjo mospërputhje është i gjithë problemi. Faqet e mëdha vendosin një rrjet përmbajtjeje përpara origjinës së tyre, kështu që adresa që zgjidhësi juaj kthen tani mund të mos jetë ajo që shfletuesi përdori një minutë më parë. Drejtoni atë që vëzhguat në socket, jo atë që liston një udhëzues më i vjetër. Nëse përgjigjet vazhdojnë të rrotullohen midis rajoneve, përjashtimi i adresës është mjeti i gabuar për atë faqe të caktuar.

Ekzekutoni kërkimin një herë të dytë nga një rrjet tjetër dhe shënoni përgjigjen IPv6 bashkë me atë IPv4. Një tunel që mban të dyja familjet ka nevojë për përjashtim në të dyja, përndryshe shfletuesi bie në heshtje përsëri në rrugën IPv6 që nuk e keni prekur kurrë. Shkruani adresat dhe datën diku ku do të shikoni përsëri.

Vendosni një rrugë hosti në klient

Supozoni se ndërfaqja quhet home-wg dhe se router-i LAN ndodhet në 192.168.1.1. NetworkManager merr një rrugë, porta e së cilës është ai router dhe gjatësia e prefiksit të së cilës mbulon të gjitha 32 bitet, dhe kerneli e preferon atë sepse fiton prefiksi më i gjatë.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Porta duhet të jetë e arritshme pa tunelin; drejtimi i hapit të ardhshëm në adresën e tunelit e prish qëllimin, sepse paketa do të hynte përsëri në ndërfaqen që po përpiqeni të shmangni. Pasi lidhja të ngrihet përsëri, ip route get për përjashtimin duhet të printohet porta LAN, dhe i njëjti komandim për një zgjidhës publik duhet të printojë ende pajisjen e tunelit.

Një profil wg-quick nuk ka fushë rrugësh, prandaj i njëjti përjashtim jeton në një rresht PostUp që shton rrugën e hostit në tabelën kryesore me ndërfaqen LAN si pajisjen e saj. Ulni dhe ringrijeni ndërfaqen pas redaktimit, sepse një ndërfaqe në punë nuk e rilexon kurrë skedarin e saj. Rregullat fwmark që instalon wg-quick drejtojnë vetëm paketat e tij të kapsuluara, kështu që trafiku i zakonshëm i shfletuesit vazhdon të ndjekë tabelën kryesore dhe gjen /32 tuaj.

Kill switch është gjëja tjetër që e bllokon

Një politikë firewalls që pranon trafik vetëm në ndërfaqen e tunelit do ta hedhë poshtë përjashtimin edhe kur rruga është plotësisht e saktë. Lexoni rregullat pas çelësit në vend që t'i besoni çelësit, sepse ato që zbatojnë një kill switch zakonisht kufizohen në një emër ndërfaqeje.

Ajo që dëshironi është një leje e ngushtë për ndërfaqen fizike dhe atë destinacion të vetëm, e vendosur përpara hedhjes, ndërsa politika e parazgjedhur mbetet e paprekur. Ndalesa e plotë e kill switch provon pikën, por e lë makinën edhe të ekspozuar për sa kohë harroni ta ndizni përsëri.

Testoni të dy drejtimet veçmas. Një kërkesë drejt adresës së përjashtimit duhet të ketë sukses, ndërsa një kërkesë drejt një faqeje të palidhur del ende përmes tunelit. Nëse të dyja kanë sukses por e dyta raporton adresën e shtëpisë, rendi i rregullave të firewalls është i gabuar, jo rruga.

DNS vendos se në cilën adresë shfletuesi bie

Kur emri zgjidhet brenda tunelit, zgjidhësi i ofruesit mund të përgjigjet me një adresë të ndryshme nga ajo që dha ai lokal. Rruga juaj atëherë zbatohet për një adresë që shfletuesi nuk e kontakton kurrë, dhe faqja ngarkohet përmes tunelit sikur të mos kishte ndryshuar asgjë. Ky dështim duket si një përjashtim i prishur edhe kur tabela e rrugëzimit është e saktë.

Dërgojini pyetësorët e atij emri edhe përmes zgjidhësit lokal, ose anashkaloni plotësisht emrat dhe testoni adresën drejtpërdrejt. Ndarja e adresës ndërsa DNS mbetet brenda tunelit është versioni gjysmë i përfunduar më i zakonshëm i këtij konfigurimi, dhe është gjithashtu më i vështiri për t'u vënë re, sepse faqja vazhdon të funksionojë, thjesht jo siç kishit ndërmend.

I njëjti përjashtim në router, një herë, për çdo pajisje

Kur tuneli punon në router, rruga e hostit i përket tabelës së rrugëzimit me politika të router-it dhe tregon portën WAN në vend të asaj LAN. Çdo pajisje pas tij trashëgon përjashtimin, gjë që ka rëndësi për një kuti transmetimi ose një laptop pune, cilësimet e rrjetit të të cilit nuk mund t'i ndryshoni.

Lëreni tunelin si daljen e parazgjedhur për çdo klient tjetër, më pas verifikoni nga një makinë klienti dhe jo nga konsola e router-it. Ngarkoni faqen e përjashtimit dhe një faqe të dytë në të njëjtën sesion shfletuesi dhe krahasoni adresat e daljes; nëse e dyta vazhdon të tregojë tunelin, tabela e politikave po bën atë që kërkuat.

Shkruani adresën, datën dhe arsyen në shënimet e router-it. Një përjashtim i ndërtuar rreth një adrese që më vonë zhvendoset bëhet një defekt që askush nuk mund ta shpjegojë pas një viti, dhe rregullimi gjithmonë duket si një mister derisa dikush të gjejë shënimin e vjetër.