Prisilno prekidanje ili pristup LAN-u? Dva odgovora za WireGuard

Rukovanje se završi, pregledanje radi, a štampač, NAS i lokalni SSH hostovi nestanu. Na Windows klijentu to obično nije nikakav kvar rutiranja: peer čiji dozvoljeni prefiksi sadrže doslovno zadano aktivira Blokiraj saobraćaj koji nije u tunelu, a ta opcija je izvedena kao pravila firewall-a koja odbacuju pakete koji izlaze kroz bilo koji drugi interfejs. Tabela ruta i dalje prikazuje lokalnu podmrežu kao direktnu vezu, zato simptom izgleda kao laž. Tri uslova odlučuju šta s tim činiti, a samo jedan od njih tiče se rutiranja.

Dva kvara nose isti simptom

Prvi kvar je fail-closed režim klijenta, a njegov znak je da sve izvan tunela stane dok sam tunel radi savršeno. Drugi je stvarni problem dostupnosti: ruta koja nedostaje, unos koji nedostaje na serveru za podmrežu iza klijenta ili dvije mreže koje dijele isti raspon adresa. Oba daju mašinu koja može pregledati i ne može štampati, a njihove popravke su suprotne, pa dijagnoza mora doći prije konfiguracije.

Razlikujuće zapažanje je da li je lokalna podmreža još prisutna u tabeli ruta dok se saobraćaj prema njoj odbacuje.

Tri uslova odlučuju odgovor

Prvo, treba li ova mašina fail-closed? Ako je odgovor da, tunel koji padne mora zaustaviti saobraćaj umjesto da ga pusti natrag na fizički interfejs, a taj zahtjev je važniji od lokalne udobnosti. Drugo, moraju li lokalni uređaji ostati dostupni dok je tunel aktivan? Štampanje, mrežno skladištenje i lokalne upravljačke konzole uobičajeni su razlozi, i to su legitimni zahtjevi, a ne izuzeci za koje se treba izvinjavati. Treće, izražava li profil zadano kao doslovno 0.0.0.0/0? Upravo taj detalj pokreće klijentska pravila, i on je promjenjiv.

Odgovorite na ta tri pitanja napismeno prije nego što dirnete profil, jer svaki odgovor pokazuje na drugu konfiguraciju.

Izaberite fail-closed i odrecite se LAN-a

Ako je curenje važnije od lokalne dostupnosti, zadržite doslovno zadano i ostavite Blokiraj saobraćaj koji nije u tunelu uključen. To je koherentan stav: mašina se tretira kao uređaj koji je ili unutar tunela ili van mreže, a lokalne usluge se dostižu s drugog uređaja ili kroz tunel ako ih server rutira. Cijena je stvarna i treba je navesti u bilješkama za uvođenje, umjesto da je otkrije osoba koja treba da štampa.

To je ispravan izbor za mašine koje obavljaju posao koji se ne smije pojaviti na kafićnoj mreži kada tunel padne. To je loše zadano za kućni laptop kojem također treba skener.

Izaberite pristup LAN-u i izrazite zadano drugačije

Ako lokalni uređaji moraju ostati dostupni, izrazite isto pokriće bez doslovnog zadanog prefiksa. Dva poluprefiksa pokrivaju svaku IPv4 adresu, ekvivalentni par pokriva IPv6, i klijent više ne ubacuje blokirajuća pravila jer nema niza koji traži.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Uklanjanje te kvačice tjera klijent da upiše ista dva para u profil, pa je poređenje generisane datoteke s blokom iznad brz način da potvrdite mehanizam, a ne da nagađate o njemu. Slijede dvije posljedice. Pokriće je identično, pa se ništa drugo u tunelu ne mijenja. Zaštita nije identična: kad pravila nestanu, tunel koji padne ostavlja mašinu na fizičkom interfejsu, a upravo je to fail-closed sprječavao.

Provjerite druga dva sumnjivca u svakom slučaju

Kad je pitanje firewall-a riješeno, potvrdite da se lokalna podmreža zaista rutira i da udaljena strana zna za sve iza ovog klijenta. Server koji mora doći do LAN-a iza klijenta treba taj prefiks u dozvoljenoj listi klijenta na hubu; izostavite li ga, hub ne može odabrati peer za te adrese, i nikakva klijentska konfiguracija ga ne stvara.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategorija mreže važnija je nego što ljudi očekuju: novoizrađeni adapter tunela klasifikovan kao javni mijenja pravila koja se na njega primjenjuju, a rezultat može izgledati kao blokada firewall-a na udaljenoj strani. Prikaz ruta pokazuje postoji li zadano uopšte, što odvaja problem politike od rute koja nedostaje.

Zatim testirajte tri stvari u jednom sjedenju: internet, jedan lokalni host po adresi i jedan host kroz tunel. Rukovanje dokazuje samo da se ključevi slažu, pa su tri testa ono što pokazuje politiku. Ako lokalni host i dalje odbija nakon što je opcija isključena, preostali sumnjivci su ruta, dozvoljena lista udaljene strane i dupla podmreža, tim redom.