LINUX.ORG.RU
решено ФорумAdmin

Завернуть трафик только одного сайта в wireguard

 


2

2

Есть у меня рабочая сетка, в которой поднят опенВПН. Этот впн используется исключительно для рабочих нужд и весь рабочий трафик идёт через него. Но есть сайт, который западные партнёры подло заблокировали (di.fm). Вобщем, я поднял вирегард на забугорном впс и хочу только этот сайт через него иметь возможность посещать. Только вот в чём прикол - когда опенВПН и wg0 подняты, то весь тарфик идет через wg0. Если tun0 потушить,и wg0 поднять - то сайт работает, но рабочие ресурсы не доступны. Такая вот загогулина. Вот такой конфиг у меня на клиенте:

1 [Interface]                                                                                                                                                                                                                                                                                                             
  2 
  3 PrivateKey = here client PrivateKey
  4 
  5 Address = 10.8.0.3/24
  6 
  7 DNS = 8.8.8.8,8.8.4.4
  8 
  9 [Peer]
 10 
 11 PublicKey = here Wireguard server PublicKey
 12 
 13 Endpoint = server_public_ip:server_port
 14 
 15 AllowedIPs = 70.42.73.23  #Target website

а вот что на серваке

 [Interface]
  2 Address = 10.8.0.1/24
  3 SaveConfig = true
  4 PostUp = ufw route allow in on wg0 out on eth0
  5 PostUp = iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
  6 PreDown = ufw route delete allow in on wg0 out on eth0
  7 PreDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
  8 ListenPort = 51820
  9 PrivateKey = server PrivateKey
 10 
 11 
 12 
 13
 14 
 15 
 16 [Peer]
 17 PublicKey = client_public_key
 18 AllowedIPs = 10.8.0.3/32
 19 

По братски, подскажи куда копать, чтобы и опенВПН работал и wireguard, но в ВГ только один сайт заворачивлася? Это в настройках вирегард или в иптабли?

Перемещено hobbit из general

★★★

Последнее исправление: Dimez (всего исправлений: 6)
Ответ на: комментарий от SpaceRanger

Ещё мысль. А тебе вправду нужен именно vpn? Есть же плагины к браузерам, которые для определённых сайтов пускают траф сквозь свои vpn'ы. Так не проще будет?

vasya_pupkin ★★★★★
()

копать у себя на машине

ip rule

скорее всего неверно сконфигурирован openvpn. Зачем весь трафик идет на него? На него должны идти только трафик в подсети работы.

AVL2 ★★★★★
()
Последнее исправление: AVL2 (всего исправлений: 1)
Ответ на: комментарий от vasya_pupkin

мгтс - такая же шляпа

Возможно из за адблока, но что странно, через прокси все работает. Что еще страннее, прокси российский, он у меня против «роскомпозора», хотя гугель с него упорно считает меня хох то есть самостийным.

Стоп, проверил. В приватном окне работает с любого адреса. Но как только авторизовался через гугл, сразу начал показывать эту страницу. Похоже, регион из гугловой учетки берет. Попробуй удалить куки или зайти через приватный просмотр.

Да, реально блочит после авторизации через гугл. Причем у меня два аккаунта, российский и киевский - банит оба.

да и логин по почте тоже самое. реально vpn западный нужен.

AVL2 ★★★★★
()
Последнее исправление: AVL2 (всего исправлений: 3)

надо убрать дефолтный маршрут, через wg интрефейс. Добавить маршрут, до хоста на котором сидит сайт. Но вообще, имхо жирно для одного сайта впн поднимать.

wncpw
()
Ответ на: комментарий от AVL2

да, если куки почистить, то позволяет зайти без авторизации. Но без авторизации даст послушать музло минут 5-10, а потом предложит продолжить слушать авторизовавшись/зарегистрировавшись.

SpaceRanger ★★★
() автор топика

Подключились к серверу по SSH и включи туннель (ssh -D), потом либо настрой в отдельном браузере SOCKS прокси на этот порт локальный, либо расширение поставь типа ProxySwitchy Omega и направь в нём на этот локальный порт только нужный тебе сайт.

Это проще, чем делать маршрут на сервер через VPN, так как там может быть несколько разных IP на одном домене.

nebularia ★★★
()
Ответ на: комментарий от easybreezy

потому что сквид не осилил) шэдоусокс норм, но приватность же, ЗОГ, и Большой Брат требуют впн)

SpaceRanger ★★★
() автор топика
Последнее исправление: SpaceRanger (всего исправлений: 1)
Ответ на: комментарий от SpaceRanger

шэдоусокс норм, но приватность же, ЗОГ, и Большой Брат требуют впн)

Что по твоему vpn? Если нужен tun, нет никаких проблем поднять его на клиенте для ss. Но ведь тебе не надо, как раз!

Если уж надо именно через openvpn/wg, то можешь за основу взять https://github.com/slingamn/namespaced-openvpn и что-то накорячить на неймcпейсах для вг, займет несколько минут, наверное.

Большой Брат требуют впн)

а большого брата сквид в качестве впн устраивал значит.

easybreezy
()
Ответ на: комментарий от easybreezy

не, мне надо, чтоб туннель автоматически поднимался при включении и без лишних телодвижений. Набросать скрипт для автоподнятия тоже какое то колхозное решение, имхо.Ну точнее не то, чтобы прям колхозное, но чот мне кажется есть решения лучше

SpaceRanger ★★★
() автор топика
Последнее исправление: SpaceRanger (всего исправлений: 1)
Ответ на: комментарий от SpaceRanger

Набросать скрипт для автоподнятия тоже какое то колхозное решение, имхо.

Ээ, но поднять сквид - неколхозное решение, а разместить процессы по нетспейсам - колхозное. Ну ок, видимо у тебя это дело принципа, а не желание решить проблему.

easybreezy
()
Ответ на: комментарий от SpaceRanger

Хз, мне нравится решение, которое я предложил. Оно ни обслуживания не просит (в скрипте на гитхабе вон системд все делает), ни трафик дальше выделенного интерфейса не утечет.

easybreezy
()
Ответ на: комментарий от easybreezy

а, падажжи! Я прост не прочитал, что там по ссылке. ДА! Выгллядит не плохим решением. Из принципа попробую и его, вместе с вирепрокси. Будет джва работающих решения, надеюсь)

SpaceRanger ★★★
() автор топика
Ответ на: комментарий от SpaceRanger

А колхозное решение, по-моему, это когда ты роутишь часть трафика по айпи, например

15 AllowedIPs = 70.42.73.23 #Target website

и оказывается, что там ниче не работает, потому что дополнительный контент грузится с других адресов. Или вообще, этот 70.42.73.23 - айпи cdn, который меняется по 500 раз в день. И ты будешь постоянно мониторить и править свои правила роутинга, так?

easybreezy
()
Ответ на: комментарий от SpaceRanger

СОгласен, практика подтвердила, что контент идёт с других адресов и это не робит. Поэтому, временно поставил 0.0.0.0/0

Ага.

Если тебе правила нужны именно по домену (или вилдкард), то я б взял shadowsocks и паком вбил клиентам куда ходить через него, а на остальное мимо, или в браузеры клиентам поставить любой плагин для прокси там тож самое настроил, без pac.

Если тебе проще по юзерам (локальным) пилить, то неймспейсы оптимальный вариант. Поверь на слово, роуты ты править не будешь постоянно, и вечно будет что-то не работать.

easybreezy
()
Ответ на: комментарий от easybreezy

Мой сознание поражено стойким убеждением, что нахаляву впн никто не даёт и там наверняка продают мою статистику злым спамерам. Ну и плюс вполне себе интересно и увлекательно самому потренироваться в настройке всякого разного и набить экспы.

SpaceRanger ★★★
() автор топика
Ответ на: комментарий от SpaceRanger

Мой сознание поражено стойким убеждением, что нахаляву впн никто не даёт и там наверняка продают мою статистику злым спамерам.

И что они украдут, список радиостанций с дифм? Дифм сам твою статистику кому хочешь продаст.

Я просто напомнил, вдруг кто не знает или нищук без 10 евро в год на вдс или прочее, а ходить в интернет хочется извне.

easybreezy
()
Ответ на: комментарий от easybreezy

wg дают беслпатно в десятке стран. А за shadowsocks или даже ssh надо денешки платить за каждый vps. Мой внутренний еврей ругается и говорит, что ты недостойный гой, раз предлагаешь подобное…

AVL2 ★★★★★
()
Ответ на: комментарий от AVL2

1. Вариант абсолютно бесплатного wg (там есть нюансы, но не думаю что под дифм они ему помешают) я ему предложил (там даже какой то простой метод генерации ключей совсем, «Тип аккаунта: limited Данных выделено: 12096606 Гбайт»).

2.

надо денешки платить

Вот лор почитаешь, особенно /dev или /jobs, так все такие крутые 300наносеки, а 5-30 долларов в год (!!) им платить западло (извините, другого слова не подберу), хотя это им НУЖНО.

3. Тред совсем не про это. Рабочия решения были даны выше, судя по прошлому треду опчик сам не вдупляет, как бы ему хотелось решить задачу.

Ты решил ответить просто потому что можешь?

easybreezy
()

Пользуясь случаем, хочу пожелать хоббиту перестать быть модератором и жить в свое удовольствие. Мужик позитивный, но по-моему технически полный ноль.

Димезу забить на модераторство (или это тебя радует? тогда ок).

Завел бы тред в толксах, да ведь скора не хватает. А если бы хватало, то удалили по любому надуманному правилу.

easybreezy
()
Ответ на: комментарий от easybreezy

Вот лор почитаешь, особенно /dev или /jobs, так все такие крутые 300наносеки, а 5-30 долларов в год (!!) им платить западло (извините, другого слова не подберу), хотя это им НУЖНО.

астанавись! мой внутренний еврей уже пеной изошел от того как несерьзно ты относишься к шекелям!

у меня тоже есть несколько шлюзов прямо в сердце пиндостана и спальню макрона, а вот решения как то нет. Морочиться с ип адресами неохота. Обычно я ставил сокс сервер на vps и включал в браузере домены через него. Но тут же просто шлюз, я ничего поставить не могу. мультисп на роутере слишком грубо.

теперь думаю. может сокс прокси на свой роутер поставить и заставить его ходить через альтернативный шлюз? вроде есть модуль для iptables позволяющий маркировать трафик процесса. но хотелось бы проще…

AVL2 ★★★★★
()

По братски, подскажи куда копать, чтобы и опенВПН работал и wireguard, но в ВГ только один сайт заворачивлася? Это в настройках вирегард или в иптабли?

openvpn и wg - просто добавляют маршруты в route. iptables - вообще ничего не рутит.

Поднимай все и покажи таблицу : ip ro show

mx__ ★★★★★
()

А можно в таких случаях пользоваться готовым решением? Например, opera в режиме экономии траффика открывает некоторые запрещенные сайты ( я смотрю через нее твиттер). А croxyproxy открывает все остальное, например, medium.com, который без подписки больше двух статей прочитать не дает.

Novichok25
()
Ответ на: комментарий от Novichok25

эммм, ну онлайн проксями я лет 15-20 назад пользовался. Они медленные, особо положиться на них нельзя. Лично мне приятнее иметь свою проксю, где я точно знаю что должно работать и без особых потерь в скоростях.

SpaceRanger ★★★
() автор топика
Ответ на: комментарий от SpaceRanger

This can be useful if you need to connect to certain sites via a wireguard peer, but can’t be bothered to setup a new network interface for whatever reasons.

[Interface]
Address = 10.254.254.40/32
PrivateKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX=

[Peer]
Endpoint = 192.168.0.204:51820
PublicKey = YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYY=
AllowedIPs = 10.254.254.100/32
PersistentKeepalive = 25

[Peer]
PublicKey = ZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ=
AllowedIPs = 10.254.254.1/32, fdee:1337:c000:d00d::1/128
Endpoint = 172.16.0.185:44044
PersistentKeepalive = 25

[TCPServerTunnel]
ListenPort = 5000
Target = service-one.servicenet:5000

[TCPServerTunnel]
ListenPort = 5001
Target = service-two.servicenet:5001

[TCPServerTunnel]
ListenPort = 5080
Target = service-three.servicenet:80

[TCPClientTunnel]
BindAddress = 127.0.0.1:25565
Target = play.cubecraft.net:25565

[Socks5]
BindAddress = 127.0.0.1:25344

# Socks5 authentication parameters, specifying username and password enables
# proxy authentication.
#Username = ...
# Avoid using spaces in the password field
#Password = ...

Ddddddouble killllll. Что это за пиздец форменный? О_О

Anoxemian ★★★★★
()