Tek bir web sitesini WireGuard tünelinizin dışına nasıl yönlendirirsiniz

Bir ana bilgisayar adını hariç tutmak, tünelin yapamayacağı bir şeydir. Ancak bir yol, tek bir adresi tünelin yanından ve ev ağ geçidinden dışarı gönderebilir ve tek bir site için bu genellikle yeterlidir. İşin püf noktası, yolun aşağısındaki her şeyin anlaşması gerektiğidir: güvenlik duvarı paketi dışarı bırakmalı, DNS yönlendirdiğiniz adresi geri vermeli ve site bu adresi kullanmayı sürdürmelidir. Üçünden biri kaydığında, istisna kendini duyurmadan çalışmayı bırakır.

Tünele dokunmadan önce hedef adresi okuyun

Siteyi tünel açıkken bir kez yükleyin, sonra tarayıcının gerçekte bağlandığı eş adresine bakın. Linux'ta, ss -tunp her açık soketin uzak adresini listeler ve dig +short aynı ad üzerinde çözümleyicinin ne döndürdüğünü gösterir. İki sayıyı da önünüzde tutun.

İki yanıt çoğu zaman uyuşmaz ve bu uyuşmazlık sorunun tamamıdır. Büyük siteler kaynaklarının önüne bir içerik ağı koyar, bu yüzden çözümleyicinizin şimdi döndürdüğü adres, tarayıcının bir dakika önce kullandığı adres olmayabilir. Sokette gözlemlediğinizi yönlendirin, eski bir kılavuzun listelediğini değil. Yanıtlar bölgeler arasında dönmeye devam ediyorsa, o belirli site için adres istisnası yanlış araçtır.

Aramayı başka bir ağdan ikinci kez çalıştırın ve IPv6 yanıtını IPv4 yanıtıyla birlikte not edin. Her iki aileyi taşıyan bir tünel her ikisinde de istisna gerektirir, aksi halde tarayıcı hiç dokunmadığınız IPv6 yoluna sessizce geri düşer. Adresleri ve tarihi tekrar bakacağınız bir yere yazın.

İstemciye bir ana bilgisayar yolu koyun

Arayüzün adı home-wg ve LAN yönlendiricisi 192.168.1.1 üzerinde diyelim. NetworkManager, ağ geçidi o yönlendirici olan ve önek uzunluğu 32 bitin tamamını kapsayan bir yolu alır ve en uzun önek kazandığı için çekirdek onu tercih eder.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Ağ geçidine tünel olmadan erişilebilmelidir; sonraki atlamayı tünelin adresine yöneltmek amacı bozar, çünkü paket kaçınmaya çalıştığınız arayüze yeniden girer. Bağlantı yeniden ayağa kalktığında, ip route get istisna için LAN ağ geçidi yazdırılmalı ve genel bir çözümleyici için aynı komut hâlâ tünel aygıtını yazdırmalıdır.

wg-quick profilinde yol alanı yoktur, bu yüzden aynı istisna bir satırda yaşar PostUp ve bu satır ana bilgisayar yolunu LAN arayüzünü aygıtı olarak alıp ana tabloya ekler. Düzenledikten sonra arayüzü indirip yeniden kaldırın, çünkü çalışan bir arayüz dosyasını asla yeniden okumaz. wg-quick'in kurduğu fwmark kuralları yalnızca kendi kapsüllenmiş paketlerini yönlendirir, bu yüzden normal tarayıcı trafiği ana tabloyu izlemeye devam eder ve /32'nizi bulur.

Kill switch bunu engelleyen bir sonraki şeydir

Trafiği yalnızca tünel arayüzünde kabul eden bir güvenlik duvarı ilkesi, yol tamamen doğru olsa bile istisnayı düşürür. Anahtar yerine anahtarın arkasındaki kuralları okuyun, çünkü kill switch uygulayanlar genellikle bir arayüz adıyla sınırlıdır.

İstediğiniz şey, fiziksel arayüz ve o tek hedef için dar bir izindir; düşürmenin önüne yerleştirilir ve varsayılan ilke dokunulmadan kalır. Kill switch'i tamamen duraklatmak savı kanıtlar, ama yeniden açmayı unuttuğunuz sürece makineyi açıkta da bırakır.

İki yönü ayrı ayrı test edin. İstisna adresine yapılan istek başarılı olmalı, ilgisiz bir siteye yapılan istek ise hâlâ tünelden çıkmalıdır. İkisi de başarılı olur ama ikincisi ev adresini bildirirse, yanlış olan güvenlik duvarı kurallarının sırasıdır, yol değil.

Tarayıcının hangi adrese gideceğine DNS karar verir

Ad tünelin içinde çözüldüğünde, sağlayıcının çözümleyicisi yerelin verdiğinden farklı bir adresle yanıt verebilir. Yolunuz o zaman tarayıcının hiç iletişim kurmadığı bir adrese uygulanır ve sayfa hiçbir şey değişmemiş gibi tünelden yüklenir. Yönlendirme tablosu doğru olsa bile bu arıza bozuk bir istisna gibi görünür.

O adın sorgularını yerel çözümleyici üzerinden de gönderin, ya da adları tamamen atlayıp adresi doğrudan test edin. DNS tünelin içinde kalırken adresi bölmek bu kurulumun en yaygın yarım kalmış sürümüdür ve fark edilmesi de en zordur, çünkü site çalışmaya devam eder, yalnızca istediğiniz gibi değil.

Aynı istisna yönlendiricide, bir kez, her aygıt için

Tünel yönlendiricide çalışırken ana bilgisayar yolu, yönlendiricinin ilke yönlendirme tablosuna aittir ve LAN ağ geçidi yerine WAN ağ geçidine işaret eder. Arkasındaki her aygıt istisnayı devralır; bu, ağ ayarlarını değiştiremediğiniz bir yayın kutusu veya iş dizüstü bilgisayarı için önemlidir.

Tüneli diğer tüm istemciler için varsayılan çıkış olarak bırakın, sonra yönlendirici konsolundan değil bir istemci makinesinden doğrulayın. Aynı tarayıcı oturumunda istisna sitesini ve ikinci bir siteyi yükleyip çıkış adreslerini karşılaştırın; ikincisi hâlâ tüneli gösteriyorsa, ilke tablosu istediğinizi yapıyordur.

Adresi, tarihi ve nedeni yönlendiricinin notlarına yazın. Daha sonra taşınan bir adresin etrafına kurulmuş bir istisna, bir yıl sonra kimsenin açıklayamayacağı bir arızaya dönüşür ve düzeltme, biri eski notu bulana kadar hep bir bilmece gibi görünür.