Diffoddwr brys neu fynediad i’r LAN? Dau ateb ar gyfer WireGuard

Mae’r cydlawenhau yn cwblhau, mae pori yn gweithio, ac mae’r argraffydd, y NAS a’r gwesteiwyr SSH lleol yn diflannu. Ar y cleient Windows nid yw hyn fel arfer yn fethiant llwybro o gwbl: mae cymar y mae ei ragosodiadau a ganiateir yn cynnwys y rhagosodiad llythrennol yn gweithredu Rhwystro traffig nad yw’n mynd drwy’r twnnel, ac mae’r opsiwn hwnnw’n cael ei weithredu fel rheolau mur tân sy’n gollwng pecynnau sy’n gadael drwy unrhyw ryngwyneb arall. Mae’r tabl llwybrau yn dal i restru’r is-rwydwaith lleol fel cyswllt uniongyrchol, a dyna pam mae’r symptom yn teimlo fel celwydd. Mae tair amod yn penderfynu beth i’w wneud yn ei gylch, a dim ond un ohonynt yn ymwneud â llwybro.

Mae dau fethiant yn gwisgo’r un symptom

Y methiant cyntaf yw modd fail-closed y cleient, a’i nod yw bod popeth y tu allan i’r twnnel yn stopio tra bo’r twnnel ei hun yn gweithio’n berffaith. Yr ail yw problem gyrhaeddedd go iawn: llwybr ar goll, cofnod ar goll ar y gweinydd ar gyfer is-rwydwaith y tu ôl i’r cleient, neu ddau rwydwaith sy’n rhannu’r un amrediad cyfeiriadau. Mae’r ddau yn cynhyrchu peiriant sy’n gallu pori ac na all argraffu, ac mae eu hatgyweiriadau yn groes, felly rhaid i’r diagnosis ddod cyn y ffurfweddiad.

Y sylw sy’n gwahaniaethu yw a yw’r is-rwydwaith lleol yn dal i fod yn y tabl llwybrau tra bo traffig iddi yn cael ei ollwng.

Mae tair amod yn penderfynu’r ateb

Yn gyntaf, a oes angen fail-closed ar y peiriant hwn? Os mai ie yw’r ateb, rhaid i dwnnel sy’n cwympo stopio traffig yn hytrach na gadael iddo ddod yn ôl i’r rhyngwyneb ffisegol, ac mae’r gofyniad hwnnw’n bwysicach na chyfleustra lleol. Yn ail, a oes rhaid i ddyfeisiau lleol aros yn gyrhaeddadwy tra bo’r twnnel i fyny? Argraffu, storfa rwydwaith a chonsolau rheoli lleol yw’r rhesymau arferol, ac maent yn ofynion cyfreithlon yn hytrach nag eithriadau i ymddiheuro amdanynt. Yn drydydd, a yw’r proffil yn mynegi’r rhagosodiad fel llythrennol 0.0.0.0/0? Y manylyn hwnnw sy’n sbarduno rheolau’r cleient, ac mae’n olygadwy.

Atebwch y tri hynny’n ysgrifenedig cyn cyffwrdd â phroffil, oherwydd mae pob ateb yn cyfeirio at ffurfweddiad gwahanol.

Dewiswch fail-closed a rhoi’r gorau i’r LAN

Os yw gollyngiadau’n bwysicach na chyrhaeddedd leol, cadwch y rhagosodiad llythrennol a gadewch Rwystro traffig nad yw’n mynd drwy’r twnnel ymlaen. Mae hon yn safbwynt gydlynol: mae’r peiriant yn cael ei drin fel dyfais sydd naill ai o fewn y twnnel neu all-lein, ac mae gwasanaethau lleol yn cael eu cyrraedd o ddyfais arall neu drwy’r twnnel os yw’r gweinydd yn eu llwybro. Mae’r gost yn real a dylid ei nodi yn y nodiadau defnyddio yn hytrach na chael ei darganfod gan y person sydd angen argraffu.

Dyma’r dewis cywir ar gyfer peiriannau sy’n trin gwaith na ddylai ymddangos ar rwydwaith caffi pan fydd y twnnel yn cwympo. Mae’n ragosodiad gwael ar gyfer gliniadur cartref sydd hefyd angen y sganiwr.

Dewiswch fynediad i’r LAN a mynegwch y rhagosodiad yn wahanol

Os oes rhaid i ddyfeisiau lleol aros yn gyrhaeddadwy, mynegwch yr un sylw heb y rhagosodiad llythrennol. Mae dau hanner rhagosodiad yn cynnwys pob cyfeiriad IPv4, mae’r pâr cyfatebol yn cynnwys IPv6, ac nid yw’r cleient bellach yn mewnosod y rheolau rhwystro oherwydd nad yw’r llinyn y mae’n chwilio amdano yn bresennol.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Mae clirio’r ticio hwnnw yn gwneud i’r cleient ysgrifennu’r un ddau bâr i’r proffil, felly mae cymharu’r ffeil a gynhyrchwyd â’r bloc uchod yn ffordd gyflym o gadarnhau’r mecanwaith yn hytrach na dyfalu amdano. Dilynir dau ganlyniad. Mae’r sylw yn union yr un fath, felly nid oes dim arall am y twnnel yn newid. Nid yw’r amddiffyniad yr un fath: gyda’r rheolau wedi mynd, mae twnnel sy’n cwympo yn gadael y peiriant yn defnyddio ei ryngwyneb ffisegol, a dyna’n union oedd fail-closed yn ei atal.

Gwiriwch y ddau amheuai arall beth bynnag

Unwaith y bydd cwestiwn y mur tân wedi’i setlo, cadarnhewch fod yr is-rwydwaith lleol yn cael ei llwybro mewn gwirionedd a bod y pen pell yn gwybod am unrhyw beth y tu ôl i’r cleient hwn. Mae angen y rhagosodiad hwnnw yn rhestr a ganiateir y cleient ar y canolbwynt ar weinydd sy’n rhaid cyrraedd LAN y tu ôl i gleient; os byddwch yn ei hepgor, ni all y canolbwynt ddewis cymar ar gyfer y cyfeiriadau hynny, ac nid oes unrhyw faint o ffurfweddiad cleient yn creu un.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Mae categori’r rhwydwaith yn bwysicach nag y mae pobl yn disgwyl: mae addasydd twnnel newydd ei greu a ddosberthir fel un cyhoeddus yn newid pa reolau sy’n berthnasol iddo, ac mae’r canlyniad yn gallu edrych fel bloc mur tân ar y pen pell. Mae’r print llwybrau yn dangos a oes rhagosodiad yn bresennol o gwbl, sy’n gwahanu problem polisi oddi wrth lwybr ar goll.

Yna profwch dri pheth mewn un sesiwn: y rhyngrwyd, un gwesteiwr lleol yn ôl cyfeiriad, ac un gwesteiwr ar draws y twnnel. Mae cydlawenhau yn profi’n unig bod allweddi’n cytuno, felly y tri phrawf sy’n dangos y polisi. Os yw’r gwesteiwr lleol yn dal i wrthod gyda’r opsiwn wedi’i glirio, y rhai a amheuir sy’n weddill yw’r llwybr, rhestr a ganiateir y pen pell a’r is-rwydwaith ddyblyg, yn y drefn honno.