Nødstop eller LAN-adgang? To svar til WireGuard

Håndtrykket fuldføres, browsing virker, og printeren, NAS’en og de lokale SSH-værter forsvinder. På Windows-klienten er det normalt slet ikke en routingfejl: en peer, hvis tilladte præfikser indeholder den bogstavelige standard, aktiverer Bloker ikke-tunelleret trafik, og den valgmulighed er implementeret som firewallregler, der dropper pakker, som forlader via en hvilken som helst anden grænseflade. Routetabellen viser stadig det lokale subnet som direkte forbundet, og derfor føles symptomet som en løgn. Tre betingelser afgør, hvad der skal gøres ved det, og kun én af dem handler om routing.

To fejl bærer det samme symptom

Den første fejl er klientens fail-closed-tilstand, og dens kendetegn er, at alt uden for tunnelen stopper, mens selve tunnelen fungerer perfekt. Den anden er et reelt tilgængelighedsproblem: en manglende rute, en manglende post på serveren for et subnet bag klienten eller to netværk med samme adresseområde. Begge giver en maskine, der kan browse og ikke kan printe, og deres løsninger er modsatrettede, så diagnosen skal komme før konfigurationen.

Den afgørende observation er, om det lokale subnet stadig findes i routetabellen, mens trafik til det droppes.

Tre betingelser afgør svaret

For det første, har denne maskine brug for fail-closed? Er svaret ja, skal en tunnel, der falder, stoppe trafikken i stedet for at lade den falde tilbage til den fysiske grænseflade, og det krav vejer tungere end lokal bekvemmelighed. For det andet, skal lokale enheder forblive tilgængelige, mens tunnelen er oppe? Udskrivning, netværkslager og lokale administrationskonsoller er de sædvanlige grunde, og de er legitime krav og ikke undtagelser, man skal undskylde. For det tredje, udtrykker profilen standarden som et bogstaveligt 0.0.0.0/0? Netop den detalje udløser klientens regler, og den kan redigeres.

Besvar de tre skriftligt, før du rører en profil, for hvert svar peger på en anden konfiguration.

Vælg fail-closed og giv afkald på LAN

Hvis lækage betyder mere end lokal tilgængelighed, behold den bogstavelige standard, og lad Bloker ikke-tunelleret trafik være slået til. Det er en sammenhængende holdning: maskinen behandles som en enhed, der enten er inde i tunnelen eller offline, og lokale tjenester nås fra en anden enhed eller gennem tunnelen, hvis serveren router dem. Omkostningen er reel og bør stå i driftsnoterne i stedet for at blive opdaget af den person, der skal printe.

Det er det rigtige valg til maskiner, der udfører arbejde, som ikke må dukke op på et cafenetværk, når tunnelen falder. Det er en dårlig standard for en hjemmelaptop, der også har brug for scanneren.

Vælg LAN-adgang og udtryk standarden anderledes

Hvis lokale enheder skal forblive tilgængelige, udtryk den samme dækning uden det bogstavelige standardpræfiks. To halve præfikser dækker hver IPv4-adresse, det tilsvarende par dækker IPv6, og klienten indsætter ikke længere de blokerende regler, fordi den streng, den leder efter, mangler.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

At fjerne det flueben får klienten til at skrive de samme to par ind i profilen, så at sammenligne den genererede fil med blokken ovenfor er en hurtig måde at bekræfte mekanismen på i stedet for at gætte på den. To konsekvenser følger. Dækningen er identisk, så intet andet ved tunnelen ændres. Beskyttelsen er ikke identisk: når reglerne er væk, lader en tunnel, der falder, maskinen bruge sin fysiske grænseflade, og det var netop, hvad fail-closed forhindrede.

Tjek de to andre mistænkte uanset hvad

Når firewall-spørgsmålet er afklaret, bekræft at det lokale subnet faktisk routes, og at den fjerne ende kender til alt bag denne klient. En server, der skal nå et LAN bag en klient, har brug for det præfiks i klientens tilladte liste på hubben; udelader du det, kan hubben ikke vælge en peer til de adresser, og ingen klientkonfiguration skaber en.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Netværkskategorien betyder mere, end folk forventer: en nyoprettet tunneladapter, der klassificeres som offentlig, ændrer, hvilke regler der gælder for den, og resultatet kan se ud som en firewallblokering i den fjerne ende. Ruteudskriften viser, om der overhovedet findes en standard, hvilket adskiller et politikproblem fra en manglende rute.

Test derefter tre ting i én session: internettet, en lokal vært efter adresse og en vært gennem tunnelen. Håndtrykket beviser kun, at nøglerne stemmer, så det er de tre tests, der viser politikken. Hvis den lokale vært stadig afviser med valgmuligheden ryddet, er de resterende mistænkte ruten, den fjerne sides tilladte liste og det dobbelte subnet, i den rækkefølge.