Επείγον κλείσιμο ή πρόσβαση στο LAN; Δύο απαντήσεις για το WireGuard

Η χειραψία ολοκληρώνεται, η περιήγηση λειτουργεί, και ο εκτυπωτής, το NAS και οι τοπικοί κεντρικοί υπολογιστές SSH εξαφανίζονται. Στον πελάτη Windows αυτό συνήθως δεν είναι καθόλου αποτυχία δρομολόγησης: ένα peer του οποίου τα επιτρεπόμενα προθέματα περιλαμβάνουν την κυριολεκτική προεπιλογή ενεργοποιεί το Αποκλεισμός κίνησης εκτός σήραγγας, και αυτή η επιλογή υλοποιείται ως κανόνες τείχους προστασίας που απορρίπτουν πακέτα τα οποία φεύγουν από οποιαδήποτε άλλη διεπαφή. Ο πίνακας δρομολόγησης εξακολουθεί να εμφανίζει το τοπικό υποδίκτυο ως άμεση σύνδεση, γι’ αυτό το σύμπτωμα μοιάζει με ψέμα. Τρεις συνθήκες αποφασίζουν τι θα γίνει με αυτό, και μόνο μία αφορά τη δρομολόγηση.

Δύο αποτυχίες φοράνε το ίδιο σύμπτωμα

Η πρώτη αποτυχία είναι η λειτουργία fail-closed του πελάτη, και το χαρακτηριστικό της είναι ότι όλα έξω από τη σήραγγα σταματούν ενώ η ίδια η σήραγγα λειτουργεί άψογα. Η δεύτερη είναι ένα πραγματικό πρόβλημα προσβασιμότητας: μια διαδρομή που λείπει, μια καταχώριση που λείπει στον διακομιστή για ένα υποδίκτυο πίσω από τον πελάτη, ή δύο δίκτυα που μοιράζονται το ίδιο εύρος διευθύνσεων. Και τα δύο παράγουν μηχάνημα που μπορεί να περιηγηθεί και δεν μπορεί να εκτυπώσει, και οι διορθώσεις τους είναι αντίθετες, άρα η διάγνωση πρέπει να έρθει πριν από τη διαμόρφωση.

Η διακριτική παρατήρηση είναι αν το τοπικό υποδίκτυο εξακολουθεί να υπάρχει στον πίνακα δρομολόγησης ενώ η κίνηση προς αυτό απορρίπτεται.

Τρεις συνθήκες αποφασίζουν την απάντηση

Πρώτον, χρειάζεται αυτό το μηχάνημα fail-closed; Αν η απάντηση είναι ναι, μια σήραγγα που πέφτει πρέπει να σταματά την κίνηση αντί να την αφήνει να επιστρέψει στη φυσική διεπαφή, και αυτή η απαίτηση υπερισχύει της τοπικής ευκολίας. Δεύτερον, πρέπει οι τοπικές συσκευές να παραμένουν προσβάσιμες όσο η σήραγγα είναι ενεργή; Η εκτύπωση, η αποθήκευση δικτύου και οι τοπικές κονσόλες διαχείρισης είναι οι συνήθεις λόγοι, και είναι νόμιμες απαιτήσεις, όχι εξαιρέσεις για τις οποίες πρέπει να ζητάμε συγγνώμη. Τρίτον, εκφράζει το προφίλ την προεπιλογή ως κυριολεκτικό 0.0.0.0/0; Ακριβώς αυτή η λεπτομέρεια ενεργοποιεί τους κανόνες του πελάτη, και είναι επεξεργάσιμη.

Απαντήστε σε αυτά τα τρία γραπτώς πριν αγγίξετε ένα προφίλ, γιατί κάθε απάντηση δείχνει σε διαφορετική διαμόρφωση.

Διαλέξτε fail-closed και παραιτηθείτε από το LAN

Αν η διαρροή έχει μεγαλύτερη σημασία από την τοπική προσβασιμότητα, κρατήστε την κυριολεκτική προεπιλογή και αφήστε το Αποκλεισμός κίνησης εκτός σήραγγας ενεργό. Είναι συνεπής θέση: το μηχάνημα αντιμετωπίζεται ως συσκευή που είναι είτε μέσα στη σήραγγα είτε εκτός σύνδεσης, και οι τοπικές υπηρεσίες προσεγγίζονται από άλλη συσκευή ή μέσω της σήραγγας αν ο διακομιστής τις δρομολογεί. Το κόστος είναι πραγματικό και πρέπει να αναφέρεται στις σημειώσεις ανάπτυξης, αντί να το ανακαλύψει το άτομο που χρειάζεται να εκτυπώσει.

Αυτή είναι η σωστή επιλογή για μηχανήματα που κάνουν εργασία η οποία δεν πρέπει να εμφανιστεί σε δίκτυο καφέ όταν πέσει η σήραγγα. Είναι κακή προεπιλογή για οικιακό φορητό υπολογιστή που χρειάζεται και τον σαρωτή.

Διαλέξτε πρόσβαση στο LAN και εκφράστε την προεπιλογή αλλιώς

Αν οι τοπικές συσκευές πρέπει να παραμείνουν προσβάσιμες, εκφράστε την ίδια κάλυψη χωρίς το κυριολεκτικό πρόθεμα προεπιλογής. Δύο μισά προθέματα καλύπτουν κάθε διεύθυνση IPv4, το ισοδύναμο ζεύγος καλύπτει το IPv6, και ο πελάτης δεν εισάγει πλέον τους κανόνες αποκλεισμού επειδή λείπει η συμβολοσειρά που αναζητά.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Η αφαίρεση αυτού του πλαισίου κάνει τον πελάτη να γράψει τα ίδια δύο ζεύγη στο προφίλ, οπότε η σύγκριση του παραγόμενου αρχείου με το μπλοκ παραπάνω είναι γρήγορος τρόπος να επιβεβαιώσετε τον μηχανισμό αντί να τον μαντέψετε. Ακολουθούν δύο συνέπειες. Η κάλυψη είναι ίδια, άρα τίποτα άλλο στη σήραγγα δεν αλλάζει. Η προστασία δεν είναι ίδια: με τους κανόνες σε αχρησία, μια σήραγγα που πέφτει αφήνει το μηχάνημα να χρησιμοποιεί τη φυσική διεπαφή του, και αυτό ακριβώς απέτρεπε το fail-closed.

Ελέγξτε τους άλλους δύο υπόπτους έτσι κι αλλιώς

Μόλις διευθετηθεί το ζήτημα του τείχους προστασίας, επιβεβαιώστε ότι το τοπικό υποδίκτυο δρομολογείται πραγματικά και ότι το απομακρυσμένο άκρο γνωρίζει ό,τι βρίσκεται πίσω από αυτόν τον πελάτη. Ένας διακομιστής που πρέπει να φτάσει σε LAN πίσω από έναν πελάτη χρειάζεται αυτό το πρόθεμα στη λίστα επιτρεπόμενων του πελάτη στον κόμβο· αν το παραλείψετε, ο κόμβος δεν μπορεί να επιλέξει peer για αυτές τις διευθύνσεις, και καμία διαμόρφωση πελάτη δεν δημιουργεί έναν.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Η κατηγορία δικτύου έχει μεγαλύτερη σημασία απ’ ό,τι περιμένουν οι άνθρωποι: ένας νεοδημιουργημένος προσαρμογέας σήραγγας που ταξινομείται ως δημόσιος αλλάζει ποιοι κανόνες ισχύουν γι’ αυτόν, και το αποτέλεσμα μπορεί να μοιάζει με αποκλεισμό τείχους προστασίας στο απομακρυσμένο άκρο. Η εκτύπωση διαδρομών δείχνει αν υπάρχει καθόλου προεπιλογή, κάτι που διαχωρίζει ένα πρόβλημα πολιτικής από μια διαδρομή που λείπει.

Έπειτα δοκιμάστε τρία πράγματα σε μία συνεδρία: το διαδίκτυο, έναν τοπικό κεντρικό υπολογιστή κατά διεύθυνση και έναν κεντρικό υπολογιστή μέσω της σήραγγας. Η χειραψία αποδεικνύει μόνο ότι τα κλειδιά συμφωνούν, άρα οι τρεις δοκιμές είναι αυτό που δείχνει την πολιτική. Αν ο τοπικός κεντρικός υπολογιστής εξακολουθεί να αρνείται με την επιλογή καθαρή, οι υπόλοιποι ύποπτοι είναι η διαδρομή, η λίστα επιτρεπόμενων του απομακρυσμένου άκρου και το διπλό υποδίκτυο, με αυτή τη σειρά.