Paano i-route ang isang website sa labas ng iyong WireGuard tunnel

Ang pagbubukod ng isang hostname ay isang bagay na hindi kayang gawin ng tunnel. Gayunman, ang isang ruta ay makakapagpadala ng isang address sa labas ng tunnel at palabas sa gateway ng bahay, at karaniwang sapat na iyon para sa isang site. Ang problema ay dapat magkasundo ang lahat ng nasa ibaba ng ruta: dapat hayaang lumabas ng firewall ang packet, dapat ibalik ng DNS ang address na ni-route mo, at dapat ipagpatuloy ng site ang paggamit ng address na iyon. Kapag ang isa sa tatlo ay lumihis, hihinto ang exception sa paggana nang hindi nagpapahayag ng sarili.

Basahin ang address ng destinasyon bago mo hawakan ang tunnel

I-load ang site nang isang beses habang naka-on ang tunnel, pagkatapos tingnan ang address ng peer na aktwal na kinonektahan ng browser. Sa Linux, ss -tunp inililista ang malayong address para sa bawat bukas na socket, at dig +short sa parehong pangalan ay ipinapakita ang ibinalik ng resolver. Panatilihin ang dalawang numero sa harap mo.

Madalas na hindi nagtutugma ang dalawang sagot, at ang pagkakaibang iyon ang buong problema. Naglalagay ang malalaking site ng content network sa harap ng kanilang pinagmulan, kaya maaaring hindi ang address na ibinalik ng resolver mo ngayon ang ginamit ng browser isang minuto ang nakalipas. I-route ang naobserbahan mo sa socket, hindi ang inililista ng lumang gabay. Kung patuloy na umiikot ang mga sagot sa pagitan ng mga rehiyon, ang exception sa address ay maling kasangkapan para sa partikular na site na iyon.

Patakbuhin ang paghahanap sa pangalawang pagkakataon mula sa ibang network, at itala ang sagot ng IPv6 kasama ng IPv4. Ang tunnel na nagdadala ng parehong pamilya ay nangangailangan ng exception sa pareho, kung hindi ay tahimik na bumabalik ang browser sa landas ng IPv6 na hindi mo kailanman hinawakan. Isulat ang mga address at ang petsa sa lugar na babalikan mo.

Maglagay ng isang ruta ng host sa client

Ipagpalagay na ang interface ay tinatawag na home-wg at ang router ng LAN ay nasa 192.168.1.1. Kumukuha ang NetworkManager ng rutang ang gateway ay ang router na iyon at ang haba ng prefix ay sumasaklaw sa buong 32 bits, at pinipili ito ng kernel dahil nananalo ang pinakamahabang prefix.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Dapat maabot ang gateway nang wala ang tunnel; ang itutok ang susunod na hop sa address ng tunnel ay sumisira sa layunin, dahil muling papasok ang packet sa interface na sinusubukan mong iwasan. Kapag umangat muli ang koneksyon, ip route get para sa exception ay dapat i-print ang gateway ng LAN, at ang parehong command para sa pampublikong resolver ay dapat pa ring i-print ang device ng tunnel.

Walang field ng ruta ang profile ng wg-quick, kaya ang parehong exception ay naninirahan sa isang linyang PostUp nagdadagdag ng ruta ng host sa pangunahing talahanayan na ang interface ng LAN ang device nito. Ibaba at iangat muli ang interface pagkatapos mag-edit, dahil ang interface na tumatakbo ay hindi kailanman muling nagbabasa ng file nito. Ang mga tuntuning fwmark na ini-install ng wg-quick ay pumapatnubay lamang sa sarili nitong mga naka-encapsulate na packet, kaya ang ordinaryong trapiko ng browser ay sumusunod pa rin sa pangunahing talahanayan at hinahanap ang iyong /32.

Ang kill switch ang susunod na bagay na humaharang dito

Ang patakaran ng firewall na tumatanggap lamang ng trapiko sa interface ng tunnel ay itatapon ang exception kahit na ang ruta ay eksaktong tama. Basahin ang mga tuntunin sa likod ng switch sa halip na magtiwala sa switch, dahil ang mga nagpapatupad ng kill switch ay karaniwang limitado sa isang pangalan ng interface.

Ang gusto mo ay isang makitid na pahintulot para sa pisikal na interface at sa isang destinasyong iyon, inilagay bago ang pagtatapon, habang ang default na patakaran ay nananatiling hindi nagalaw. Ang ganap na pag-pause ng kill switch ay nagpapatunay ng punto, ngunit iniiwan din ang makina na nakalantad hangga't nakalimutan mong buksan itong muli.

Subukan ang dalawang direksyon nang hiwalay. Ang kahilingan sa address ng exception ay dapat magtagumpay habang ang kahilingan sa isang walang kaugnayang site ay lumalabas pa rin sa tunnel. Kung parehong nagtagumpay ngunit ang pangalawa ay nag-uulat ng address ng bahay, mali ang pagkakasunud-sunod ng mga tuntunin ng firewall, hindi ang ruta.

Ang DNS ang nagpapasya kung aling address ang tatawagan ng browser

Kapag nareresolba ang pangalan sa loob ng tunnel, maaaring sumagot ang resolver ng provider ng ibang address kaysa sa ibinigay ng lokal. Ilalapat noon ang ruta mo sa isang address na hindi kailanman kinokontak ng browser, at naglo-load ang pahina sa pamamagitan ng tunnel na parang walang nagbago. Mukhang sirang exception ang kabiguang ito kahit tama ang talahanayan ng ruta.

Ipadala rin ang mga query ng pangalang iyon sa lokal na resolver, o laktawan nang tuluyan ang mga pangalan at subukan ang address nang direkta. Ang paghahati ng address habang nananatili ang DNS sa loob ng tunnel ay ang pinakakaraniwang kalahating-tapos na bersyon ng setup na ito, at ito rin ang pinakamahirap mapansin, dahil patuloy na gumagana ang site, hindi lang tulad ng inaasahan mo.

Ang parehong exception sa router, isang beses, para sa bawat device

Kapag tumatakbo ang tunnel sa router, ang ruta ng host ay kabilang sa talahanayan ng policy routing ng router at tumuturo sa gateway ng WAN sa halip na LAN. Bawat device sa likod nito ay nagmamana ng exception, na mahalaga para sa isang streaming box o work laptop na hindi mo mababago ang mga setting ng network.

Iwanan ang tunnel bilang default na labasan para sa bawat iba pang client, pagkatapos ay i-verify mula sa isang client machine sa halip na mula sa console ng router. I-load ang site ng exception at isang pangalawang site sa parehong session ng browser at ihambing ang mga address ng labasan; kung ang pangalawa ay nagpapakita pa rin ng tunnel, ginagawa ng talahanayan ng patakaran ang hiningi mo.

Isulat ang address, petsa, at dahilan sa mga tala ng router. Ang exception na itinayo sa paligid ng isang address na lumilipat mamaya ay nagiging isang depektong walang makapagpapaliwanag pagkalipas ng isang taon, at ang pag-aayos ay laging mukhang isang misteryo hanggang may makahanap ng lumang tala.