Trafiki dayandırmaq, yoxsa LAN girişi? WireGuard üçün iki cavab

Əl sıxma tamamlanır, brauzer işləyir, amma printer, NAS və yerli SSH hostları yox olur. Windows müştərisində bu, adətən, heç də marşrutlaşdırma xətası deyil: icazə verilmiş prefiksləri hərfi defoltu ehtiva edən peer “tuneldən keçməyən trafiki blokla” seçimini aktivləşdirir və bu seçim hər hansı digər interfeysdən çıxan paketləri atan firewall qaydaları kimi tətbiq olunur. Marşrut cədvəli yerli subneti hələ də on-link kimi göstərir, buna görə simptom yalan kimi hiss olunur. Buna nə ediləcəyini üç şərt həll edir və onlardan yalnız biri marşrutlaşdırma ilə bağlıdır.

İki nasazlıq eyni simptomu daşıyır

Birinci nasazlıq müştərinin fail-closed rejimidir və əlaməti tuneldən kənarda hər şeyin dayanması, tunelin özünün isə mükəmməl işləməsidir. İkincisi əsl əlçatanlıq problemidir: çatışmayan marşrut, serverdə müştərinin arxasındakı subnet üçün çatışmayan qeyd və ya eyni ünvan aralığını paylaşan iki şəbəkə. Hər ikisi brauzeri açılan, çap edə bilməyən maşın yaradır və onların düzəlişləri bir-birinə ziddir, ona görə diaqnoz konfiqurasiyadan əvvəl gəlməlidir.

Fərqləndirici müşahidə yerli subnetin marşrut cədvəlində hələ də olub-olmadığıdır, halbuki ona gedən trafik atılır.

Cavabı üç şərt həll edir

Birincisi, bu maşın fail-closed olmalıdırmı? Əgər cavab bəlidirsə, düşən tunel trafiki fiziki interfeysə qaytarmaq əvəzinə dayandırmalıdır və bu tələb yerli rahatlıqdan üstündür. İkincisi, tunel açıqkən yerli cihazlar əlçatan qalmalıdırmı? Çap, şəbəkə yaddaşı və yerli idarəetmə konsolları adi səbəblərdir və bunlar üzr istəniləcək istisnalar deyil, qanuni tələblərdir. Üçüncüsü, profil defoltu hərfi 0.0.0.0/0 kimi ifadə edirmi? Müştərinin qaydalarını işə salan məhz bu detaldır və o, redaktə oluna bilər.

Profilə toxunmazdan əvvəl bu üçünü yazılı cavablandırın, çünki hər cavab fərqli konfiqurasiyaya işarə edir.

Fail-closed seçin və LAN-dan imtina edin

Əgər sızma yerli əlçatanlıqdan vacibdirsə, hərfi defoltu saxlayın və “tuneldən keçməyən trafiki blokla” seçimini aktiv qoyun. Bu tutarlı mövqedir: maşın ya tunelin içində, ya da oflayn olan cihaz kimi qəbul edilir və yerli xidmətlərə başqa cihazdan və ya server onları marşrutlaşdırırsa tuneldən çatılır. Xərc realdır və çap etməyə ehtiyacı olan şəxs kəşf etməzdən əvvəl yerləşdirmə qeydlərində göstərilməlidir.

Bu, tunel düşəndə kafe şəbəkəsində görünməməli olan işlərlə məşğul olan maşınlar üçün düzgün seçimdir. Skaynerə də ehtiyacı olan ev noutbuku üçün isə pis defoltdur.

LAN girişini seçin və defoltu başqa cür ifadə edin

Əgər yerli cihazlar əlçatan qalmalıdırsa, eyni əhatəni hərfi defolt prefiksi olmadan ifadə edin. İki yarım prefiks bütün IPv4 ünvanlarını əhatə edir, ekvivalent cüt IPv6-nı əhatə edir və müştəri artıq bloklayıcı qaydaları yerləşdirmir, çünki axtardığı sətir yoxdur.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Həmin işarəni götürmək müştərini profilə eyni iki cütü yazmağa vadar edir, ona görə yaradılan faylı yuxarıdakı blokla müqayisə etmək mexanizmi təxmin etmək əvəzinə təsdiqləməyin sürətli yoludur. Bundan iki nəticə çıxır. Əhatə eynidir, ona görə tuneldə başqa heç nə dəyişmir. Qoruma eyni deyil: qaydalar getdikdə düşən tunel maşını fiziki interfeysindən istifadə etməyə qoyur və fail-closed məhz bunun qarşısını alırdı.

Hər halda digər iki şübhəlini yoxlayın

Firewall məsələsi həll olunduqdan sonra yerli subnetin həqiqətən marşrutlaşdırıldığını və uzaq tərəfin bu müştərinin arxasındakı hər şeydən xəbərdar olduğunu təsdiqləyin. Müştərinin arxasındakı LAN-a çatmalı olan serverə həmin prefiks hub-da müştərinin icazəli siyahısında lazımdır; onu buraxsanız hub həmin ünvanlar üçün peer seçə bilməz və nə qədər müştəri konfiqurasiyası olsa da onu yaratmaz.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Şəbəkə kateqoriyası insanların gözlədiyindən daha çox vacibdir: ictimai kimi təsnif edilən yeni tunel adapteri ona hansı qaydaların tətbiq olunduğunu dəyişir və nəticə uzaq tərəfdə firewall bloku kimi görünə bilər. Marşrut çapı ümumiyyətlə defoltun olub-olmadığını göstərir və bu, siyasət problemini çatışmayan marşrutdan ayırır.

Sonra bir oturumda üç şeyi sınayın: interneti, ünvanla bir yerli hostu və tuneldən bir hostu. Əl sıxma yalnız açarların uyğun olduğunu sübut edir, ona görə siyasəti göstərən üç testdir. Əgər seçim ləğv edildikdən sonra yerli host yenə imtina edirsə, qalan şübhəlilər marşrut, uzaq tərəfin icazəli siyahısı və təkrar subnetdir, bu sıra ilə.