Bitta veb-saytni WireGuard tunneldan tashqariga qanday yo‘naltirish mumkin

Xost nomini chiqarib tashlash tunnel qila olmaydigan ishdir. Ammo marshrut bitta manzilni tunneldan chetlab, uy darvozasi orqali tashqariga chiqarishi mumkin va bitta sayt uchun bu odatda yetarli. Muammo shundaki, marshrutdan keyingi hamma narsa bir fikrda bo‘lishi kerak: xavfsizlik devori paketni tashqariga qo‘yib yuborishi, DNS siz yo‘naltirgan manzilni qaytarishi va sayt o‘sha manzildan foydalanishda davom etishi kerak. Uchtadan biri chetga chiqsa, istisno o‘zini e’lon qilmasdan ishlashdan to‘xtaydi.

Tunnelga tegishdan oldin manzilni o‘qing

Saytni tunnel yoqilgan holda bir marta yuklang, so‘ng brauzer haqiqatda ulangan peer manzilini ko‘ring. Linuxda, ss -tunp har bir ochiq soketning masofaviy manzilini sanab chiqadi, va dig +short xuddi shu nom bo‘yicha hal qiluvchi nima qaytarganini ko‘rsatadi. Ikkala raqamni ham ko‘z oldingizda tuting.

Ikki javob ko‘pincha mos kelmaydi va bu nomuvofiqlik butun muammodir. Katta saytlar o‘z manbasi oldiga kontent tarmog‘ini qo‘yadi, shuning uchun hal qiluvchi hozir qaytarayotgan manzil brauzer bir daqiqa oldin ishlatgan manzil bo‘lmasligi mumkin. Soketda kuzatganingizni yo‘naltiring, eski qo‘llanmada sanab o‘tilganini emas. Javoblar hududlar orasida aylanib tursa, o‘sha aniq sayt uchun manzil istisnosi noto‘g‘ri asbobdir.

Qidiruvni boshqa tarmoqdan ikkinchi marta ishga tushiring va IPv6 javobini IPv4 javobi bilan birga yozib oling. Ikkala oilani ham tashiydigan tunnel ikkalasida ham istisno talab qiladi, aks holda brauzer siz hech qachon tegmagan IPv6 yo‘liga jimgina qaytadi. Manzillar va sanani yana ko‘radigan joyga yozib qo‘ying.

Mijozga bitta xost marshrutini qo‘ying

Interfeys home-wg deb nomlanadi va LAN routeri 192.168.1.1 da deb faraz qiling. NetworkManager darvozasi o‘sha router bo‘lgan va prefiks uzunligi to‘liq 32 bitni qamrab olgan marshrutni oladi va yadro uni afzal ko‘radi, chunki eng uzun prefiks g‘olib bo‘ladi.

nmcli connection modify home-wg +ipv4.routes "198.51.100.20/32 192.168.1.1"
nmcli connection up home-wg
ip route get 198.51.100.20

Darvoza tunnelsiz yetib boriladigan bo‘lishi kerak; keyingi sakrashni tunnel manziliga qaratish maqsadni buzadi, chunki paket siz qochmoqchi bo‘lgan interfeysga yana kiradi. Ulanish yana ko‘tarilgach, ip route get istisno uchun LAN darvozasi chop etilishi kerak va ommaviy hal qiluvchi uchun xuddi shu buyruq hali ham tunnel qurilmasini chop etishi kerak.

wg-quick profilida marshrutlar maydoni yo‘q, shuning uchun xuddi shu istisno PostUp qatorida yashaydi, u xost marshrutini LAN interfeysini o‘z qurilmasi qilib asosiy jadvalga qo‘shadi. Tahrirlashdan keyin interfeysni tushiring va yana ko‘taring, chunki ishlab turgan interfeys hech qachon o‘z faylini qayta o‘qimaydi. wg-quick o‘rnatadigan fwmark qoidalari faqat o‘zining inkapsulyatsiyalangan paketlarini yo‘naltiradi, shuning uchun oddiy brauzer trafigi baribir asosiy jadvalga ergashadi va /32ingizni topadi.

Kill switch — buni to‘sadigan keyingi narsa

Trafikni faqat tunnel interfeysida qabul qiladigan xavfsizlik devori siyosati marshrut mutlaqo to‘g‘ri bo‘lsa ham istisnoni tashlab yuboradi. O‘chirgichga ishonish o‘rniga uning orqasidagi qoidalarni o‘qing, chunki kill switchni amalga oshiruvchilar odatda interfeys nomi bilan cheklanadi.

Sizga kerak bo‘lgan narsa jismoniy interfeys va o‘sha bitta manzil uchun tor ruxsat bo‘lib, u tashlab yuborishdan oldin qo‘yiladi, standart siyosat esa tegilmagan qoladi. Kill switchni butunlay to‘xtatish fikrni isbotlaydi, lekin uni qayta yoqishni unutguningizcha mashinani ochiq qoldiradi.

Ikki yo‘nalishni alohida sinab ko‘ring. Istisno manziliga so‘rov muvaffaqiyatli bo‘lishi kerak, aloqasiz saytga so‘rov esa hali ham tunnel orqali chiqadi. Ikkalasi ham muvaffaqiyatli bo‘lsa-yu, ikkinchisi uy manzilini aytsa, xavfsizlik devori qoidalarining tartibi noto‘g‘ri, marshrut emas.

Brauzer qaysi manzilga qo‘ng‘iroq qilishini DNS hal qiladi

Nom tunnel ichida hal qilinganda, provayderning hal qiluvchisi mahalliy hal qiluvchi berganidan boshqa manzil bilan javob berishi mumkin. Shunda marshrutingiz brauzer hech qachon aloqaga chiqmaydigan manzilga qo‘llanadi va sahifa hech narsa o‘zgarmagandek tunnel orqali yuklanadi. Marshrutlash jadvali to‘g‘ri bo‘lsa ham bu nosozlik buzilgan istisnoga o‘xshaydi.

O‘sha nomning so‘rovlarini mahalliy hal qiluvchi orqali ham yuboring yoki nomlarni butunlay tashlab, manzilni to‘g‘ridan-to‘g‘ri sinang. DNS tunnel ichida qolgan holda manzilni bo‘lish — bu sozlamaning eng keng tarqalgan yarim tugallangan versiyasi va uni payqash ham eng qiyin, chunki sayt ishlashda davom etadi, faqat siz xohlagandek emas.

Routerda xuddi shu istisno, bir marta, har bir qurilma uchun

Tunnel routerda ishlayotganda, xost marshruti routerning siyosiy marshrutlash jadvaliga tegishli bo‘ladi va LAN darvozasi o‘rniga WAN darvozasiga ishora qiladi. Uning orqasidagi har bir qurilma istisnoni meros oladi, bu esa striming qutisi yoki tarmoq sozlamalarini o‘zgartira olmaydigan ish noutbuki uchun muhim.

Boshqa har bir mijoz uchun tunnelni standart chiqish sifatida qoldiring, so‘ng router konsolidan emas, mijoz mashinasidan tekshiring. Xuddi shu brauzer sessiyasida istisno saytini va ikkinchi saytni yuklab, chiqish manzillarini solishtiring; agar ikkinchisi hali ham tunnelni ko‘rsatsa, siyosat jadvali siz so‘ragan ishni qilmoqda.

Router eslatmalariga manzil, sana va sababni yozing. Keyinchalik ko‘chadigan manzil atrofida qurilgan istisno bir yildan keyin hech kim tushuntira olmaydigan nosozlikka aylanadi va kimdir eski eslatmani topmaguncha yechim hamisha jumboqdek ko‘rinadi.