Noodstop of LAN-toegang? Twee antwoorde vir WireGuard

Die handdruk voltooi, webblaai werk, en die drukker, die NAS en die plaaslike SSH-gashere verdwyn. Op die Windows-kliënt is dit gewoonlik glad nie ’n roeteringsfout nie: ’n peer wie se toegelate voorvoegsels die letterlike verstek insluit, aktiveer Blokkeer ongetunnelde verkeer, en daardie opsie word as vuurmuurreëls geïmplementeer wat pakkette laat val wat deur enige ander koppelvlak vertrek. Die roetertabel lys die plaaslike subnet steeds as on-link, en daarom voel die simptoom soos ’n leuen. Drie voorwaardes bepaal wat om daaraan te doen, en net een daarvan gaan oor roetering.

Twee foute dra dieselfde simptoom

Die eerste fout is die kliënt se fail-closed-modus, en die kenmerk daarvan is dat alles buite die tonnel stop terwyl die tonnel self perfek werk. Die tweede is ’n werklike bereikbaarheidsprobleem: ’n ontbrekende roete, ’n ontbrekende inskrywing op die bediener vir ’n subnet agter die kliënt, of twee netwerke wat dieselfde adresreeks deel. Albei lewer ’n masjien wat kan blaai en nie kan druk nie, en hulle het teenoorgestelde oplossings, so die diagnose moet voor die konfigurasie kom.

Die onderskeidende waarneming is of die plaaslike subnet steeds in die roetertabel teenwoordig is terwyl verkeer daarheen laat val word.

Drie voorwaardes bepaal die antwoord

Eerstens, moet hierdie masjien fail-closed wees? As die antwoord ja is, moet ’n tonnel wat val verkeer stop eerder as om dit na die fisiese koppelvlak te laat terugval, en daardie vereiste weeg swaarder as plaaslike gerief. Tweedens, moet plaaslike toestelle bereikbaar bly terwyl die tonnel op is? Drukwerk, netwerkberging en plaaslike bestuurkonsoles is die gewone redes, en dit is wettige vereistes eerder as uitsonderings waarvoor verskoning gevra moet word. Derdens, druk die profiel die verstek as ’n letterlike 0.0.0.0/0 uit? Daardie detail is wat die kliënt se reëls aktiveer, en dit is redigeerbaar.

Beantwoord daardie drie skriftelik voordat jy aan ’n profiel raak, want elke antwoord wys na ’n ander konfigurasie.

Kies fail-closed en gee die LAN prys

As lekkasie belangriker is as plaaslike bereikbaarheid, hou die letterlike verstek en laat Blokkeer ongetunnelde verkeer geaktiveer. Dit is ’n samehangende standpunt: die masjien word behandel as ’n toestel wat óf binne die tonnel óf vanlyn is, en plaaslike dienste word van ’n ander toestel of deur die tonnel bereik as die bediener dit routeer. Die koste is werklik en moet in die ontplooiingsnotas genoem word eerder as om ontdek te word deur die persoon wat moet druk.

Dit is die regte keuse vir masjiene wat werk hanteer wat nie op ’n kafee-netwerk mag verskyn wanneer die tonnel val nie. Dit is ’n swak verstek vir ’n tuisdraagbare rekenaar wat ook die skandeerder nodig het.

Kies LAN-toegang en druk die verstek anders uit

As plaaslike toestelle bereikbaar moet bly, druk dieselfde dekking uit sonder die letterlike verstekvoorvoegsel. Twee halfvoorvoegsels dek elke IPv4-adres, die ekwivalente paar dek IPv6, en die kliënt voeg nie meer die blokkerende reëls in nie omdat die string waarna dit soek afwesig is.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Om daardie merkblokkie skoon te maak, laat die kliënt dieselfde twee pare in die profiel skryf, so om die gegenereerde lêer met die blok hierbo te vergelyk is ’n vinnige manier om die meganisme te bevestig eerder as om te raai. Twee gevolge volg. Dekking is identies, so niks anders aan die tonnel verander nie. Beskerming is nie identies nie: met die reëls weg, laat ’n tonnel wat val die masjien sy fisiese koppelvlak gebruik, en dit is presies wat fail-closed verhoed het.

Kontroleer die ander twee verdagtes in elk geval

Sodra die vuurmuurvraag besleg is, bevestig dat die plaaslike subnet werklik gerouteer word en dat die verre kant weet van enigiets agter hierdie kliënt. ’n Bediener wat ’n LAN agter ’n kliënt moet bereik, het daardie voorvoegsel in die kliënt se toegelate lys op die hub nodig; laat dit uit en die hub kan nie ’n peer vir daardie adresse kies nie, en geen hoeveelheid kliëntkonfigurasie skep een nie.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Die netwerkkategorie maak meer saak as wat mense verwag: ’n nuut geskepte tonnel-adapter wat as publiek geklassifiseer word, verander watter reëls daarop van toepassing is, en die resultaat kan soos ’n vuurmuurblokkade aan die verre kant lyk. Die roetedruk wys of ’n verstek hoegenaamd teenwoordig is, wat ’n beleidsprobleem van ’n ontbrekende roete onderskei.

Toets dan drie dinge in een sitting: die internet, een plaaslike gasheer per adres, en een gasheer oor die tonnel. ’n Handdruk bewys net dat sleutels ooreenstem, so die drie toetse is wat die beleid demonstreer. Sou die plaaslike gasheer steeds weier met die skakelaar skoongemaak, is die oorblywende verdagtes die roete, die verre-kant toegelate lys en die duplikaat-subnet, in daardie orde.