مفتاح الإيقاف أم الوصول إلى الشبكة المحلية؟ إجابتان لـ WireGuard

تكتمل المصافحة، ويعمل التصفح، ثم تختفي الطابعة و NAS ومضيفات SSH المحلية. في عميل Windows، لا يكون هذا عادةً فشل توجيه على الإطلاق: فالنظير الذي تتضمن بادئاته المسموح بها الوضع الافتراضي الحرفي يفعّل خيار حظر حركة المرور غير المنقولة، وهذا الخيار يُنفَّذ كقواعد جدار حماية تُسقط الحزم التي تغادر عبر أي واجهة أخرى. لا يزال جدول التوجيه يُدرج الشبكة المحلية الفرعية كوصلة مباشرة، ولهذا يبدو العَرَض وكأنه كذبة. ثلاثة شروط تحدد ما يجب فعله حيال ذلك، وواحد منها فقط يتعلق بالتوجيه.

فشلان يحملان العَرَض نفسه

الفشل الأول هو وضع الإغلاق الآمن في العميل، وسمته أن كل شيء خارج النفق يتوقف بينما يعمل النفق نفسه بشكل مثالي. والثاني مشكلة وصول حقيقية: مسار مفقود، أو إدخال مفقود على الخادم لشبكة فرعية خلف العميل، أو شبكتان تتشاركان النطاق نفسه. كلاهما ينتج جهازًا يستطيع التصفح ولا يستطيع الطباعة، ولديهما حلان متعاكسان، لذا يجب أن يأتي التشخيص قبل الإعداد.

الملاحظة الفارقة هي ما إذا كانت الشبكة المحلية الفرعية لا تزال موجودة في جدول التوجيه بينما تُسقط الحركة المتجهة إليها.

ثلاثة شروط تحسم الجواب

أولًا، هل يحتاج هذا الجهاز إلى الإغلاق الآمن؟ إذا كان الجواب نعم، فيجب أن يوقف نفقٌ ساقط حركةَ المرور بدلًا من تركها تعود إلى الواجهة الفيزيائية، وهذا الشرط أرجح من الراحة المحلية. ثانيًا، هل يجب أن تبقى الأجهزة المحلية قابلة للوصول بينما النفق قائم؟ الطباعة وتخزين الشبكة ووحدات التحكم الإدارية المحلية هي الأسباب المعتادة، وهي متطلبات مشروعة لا استثناءات يُعتذر عنها. ثالثًا، هل يعبّر الملف الشخصي عن الوضع الافتراضي كقيمة حرفية 0.0.0.0/0؟ هذه التفصيلة هي ما يفعّل قواعد العميل، وهي قابلة للتحرير.

أجب عن هذه الثلاثة كتابةً قبل لمس أي ملف شخصي، لأن كل جواب يشير إلى إعداد مختلف.

اختر الإغلاق الآمن وتخلَّ عن الشبكة المحلية

إذا كانت التسريبات تهم أكثر من الوصول المحلي، فأبقِ الوضع الافتراضي الحرفي واترك خيار حظر حركة المرور غير المنقولة مفعّلًا. هذا موقف متماسك: يُعامَل الجهاز كجهاز إما داخل النفق أو غير متصل، وتُبلَغ الخدمات المحلية من جهاز آخر أو عبر النفق إذا كان الخادم يوجّهها. التكلفة حقيقية وينبغي ذكرها في ملاحظات النشر بدلًا من أن يكتشفها الشخص الذي يحتاج إلى الطباعة.

هذا هو الخيار الصحيح للأجهزة التي تتعامل مع عمل يجب ألا يظهر على شبكة مقهى عندما يسقط النفق. وهو خيار افتراضي سيئ لجهاز محمول منزلي يحتاج أيضًا إلى الماسح الضوئي.

اختر الوصول إلى الشبكة المحلية وعبّر عن الافتراضي بشكل آخر

إذا كان يجب أن تبقى الأجهزة المحلية قابلة للوصول، فعبّر عن التغطية نفسها دون بادئة الوضع الافتراضي الحرفية. تغطي بادئتان نصفيتان كل عنوان IPv4، ويغطي الزوج المكافئ IPv6، ولم يعد العميل يُدرج قواعد الحجب لأن السلسلة التي يبحث عنها غائبة.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

إزالة علامة ذلك المربع تجعل العميل يكتب الزوجين نفسهما في الملف الشخصي، لذا فإن مقارنة الملف المولَّد بالكتلة أعلاه طريقة سريعة لتأكيد الآلية بدلًا من التخمين فيها. وتتبع ذلك نتيجتان. التغطية متطابقة، لذا لا يتغير شيء آخر في النفق. والحماية ليست متطابقة: مع اختفاء القواعد، يترك النفق الساقط الجهازَ يستخدم واجهته الفيزيائية، وهو بالضبط ما كان الإغلاق الآمن يمنعه.

تحقق من المشتبه بهما الآخرين في كل الأحوال

بمجرد حسم مسألة جدار الحماية، تأكد من أن الشبكة المحلية الفرعية موجهة فعليًا وأن الطرف البعيد يعرف بكل ما هو خلف هذا العميل. الخادم الذي يجب أن يصل إلى شبكة محلية خلف عميل يحتاج إلى تلك البادئة في قائمة العميل المسموح بها على المحور؛ وإن أغفلتها فلن يستطيع المحور اختيار نظير لتلك العناوين، ولن تُنشئها أي كمية من إعداد العميل.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

فئة الشبكة تهم أكثر مما يتوقع الناس: محول نفق جديد يُصنَّف كعام يغير القواعد المطبقة عليه، وقد تبدو النتيجة كحجب جدار حماية على الطرف البعيد. يُظهر أمر طباعة المسارات ما إذا كان هناك مسار افتراضي أصلًا، وهو ما يفصل مشكلة السياسة عن مسار مفقود.

ثم اختبر ثلاثة أشياء في جلسة واحدة: الإنترنت، ومضيفًا محليًا واحدًا بالعنوان، ومضيفًا واحدًا عبر النفق. المصافحة تثبت فقط توافق المفاتيح، لذا فالاختبارات الثلاثة هي ما يُظهر السياسة. وإذا استمر المضيف المحلي في الرفض بعد إلغاء الخيار، فالمشتبه بهم المتبقون هم المسار، وقائمة الطرف البعيد المسموح بها، والشبكة الفرعية المكررة، بهذا الترتيب.