Како усмерити једну веб страницу ван свог WireGuard тунела

Изузимање имена домаћина је нешто што тунел не може. Рута, пак, може усмерити једну адресу поред тунела и напоље кроз кућни пролаз, и то је обично довољно за једну страницу. Закачка је у томе што све низводно од руте мора да се слаже: заштитни зид мора да пусти пакет напоље, DNS мора да врати адресу коју сте усмерили, а страница мора да настави да користи ту адресу. Када се било која од три помакне, изузетак престаје да ради без најаве.

Прочитајте одредишну адресу пре него што дирнете тунел

Учитајте страницу једном са подигнутим тунелом, па погледајте адресу саговорника на коју се прегледач заиста повезао. На Линуксу, ss -tunp приказује удаљену адресу за сваки отворени сокет, а dig +short на истом имену показује шта је резолвер вратио. Држите оба броја пред собом.

Два одговора се често не слажу, а та неслога је цео проблем. Велике странице стављају мрежу садржаја испред свог извора, па адреса коју резолвер сада враћа можда није она коју је прегледач користио пре минут. Усмеравајте оно што сте приметили на сокету, а не оно што наводи старији водич. Ако се одговори и даље врте по регионима, изузетак за адресу је погрешан алат за ту конкретну страницу.

Покрените претрагу други пут са друге мреже и запишите одговор за IPv6 заједно са оним за IPv4. Тунел који носи обе фамилије треба изузетак у обе, иначе прегледач тихо пада назад на IPv6 путању коју никад нисте дотакли. Запишите адресе и датум негде где ћете поново погледати.

Поставите једну руту домаћина на клијенту

Претпоставимо да се интерфејс зове home-wg и да LAN рутер стоји на 192.168.1.1. NetworkManager преузима руту чији је пролаз тај рутер и чија дужина префикса покрива свих 32 бита, а језгро је преферира јер најдужи префикс побеђује.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Пролаз мора бити доступан без тунела; усмеравање следећег скока на адресу тунела осујећује циљ, јер би пакет поново ушао у интерфејс који покушавате да избегнете. Када се веза поново подигне, ip route get за изузетак би требало да испише LAN пролаз, а иста команда за јавни резолвер би требало и даље да исписује уређај тунела.

wg-quick профил нема поље рута, па исти изузетак живи у линији PostUp која додаје руту домаћина у главну табелу са LAN интерфејсом као својим уређајем. Спустите и поново подигните интерфејс после измене, јер интерфејс који ради никада поново не чита своју датотеку. fwmark правила која wg-quick инсталира усмеравају само његове сопствене инкапсулиране пакете, па обичан саобраћај прегледача и даље следи главну табелу и налази вашу /32.

Kill switch је следећа ствар која то блокира

Политика заштитног зида која пропушта саобраћај само на интерфејсу тунела одбациће изузетак чак и када је рута потпуно тачна. Читајте правила иза прекидача уместо да верујете прекидачу, јер су она која спроводе kill switch обично ограничена на име интерфејса.

Оно што желите је уска дозвола за физички интерфејс и ту једну одредишну тачку, постављена пре одбацивања, док подразумевана политика остаје нетакнута. Потпуно паузирање kill switch-а доказује поенту, али и оставља машину изложену све док не заборавите да га поново укључите.

Тестирајте два смера одвојено. Захтев ка адреси изузетка требало би да успе, док захтев ка неповезаној страници и даље излази кроз тунел. Ако оба успеју али други пријави кућну адресу, погрешан је редослед правила заштитног зида, а не рута.

DNS одлучује на коју адресу прегледач позива

Када се име разреши унутар тунела, резолвер добављача може одговорити другом адресом него локални. Ваша рута се тада примењује на адресу са којом прегледач никада не ступа у контакт, и страница се учитава кроз тунел као да се ништа није променило. Овај квар изгледа као покварен изузетак иако је табела рутирања тачна.

Пошаљите упите за то име и кроз локални резолвер, или потпуно прескочите имена и тестирајте адресу директно. Раздвајање адресе док DNS остаје унутар тунела најчешћа је напола завршена верзија овог подешавања, и најтеже ју је приметити, јер страница наставља да ради, само не онако како сте намеравали.

Исти изузетак на рутеру, једном, за сваки уређај

Када тунел ради на рутеру, рута домаћина припада рутеровој табели политичког рутирања и показује на WAN пролаз уместо на LAN. Сваки уређај иза њега наслеђује изузетак, што је важно за стриминг кутију или радни лаптоп чија подешавања мреже не можете да промените.

Оставите тунел као подразумевани излаз за сваки други клијент, а затим проверите са клијентске машине, а не из конзоле рутера. Учитајте страницу изузетка и другу страницу у истој сесији прегледача и упоредите излазне адресе; ако друга и даље показује тунел, табела политика ради оно што сте тражили.

Запишите адресу, датум и разлог у белешке рутера. Изузетак изграђен око адресе која се касније премешта постаје квар који нико не може да објасни за годину, а поправка увек изгледа као мистерија док неко не пронађе стару белешку.