Ĉu urĝa haltigo aŭ aliro al LAN? Du respondoj por WireGuard

La manpremo kompletiĝas, retumi funkcias, kaj la printilo, la NAS kaj la lokaj SSH-gastigantoj malaperas. Ĉe la Windows-kliento tio kutime tute ne estas vojiga fiasko: samtavolo, kies permesitaj prefiksoj enhavas la laŭliteran defaŭlton, ŝaltas Bloki netunelitan trafikon, kaj tiu opcio estas realigata kiel fajroŝirmilaj reguloj, kiuj forĵetas pakaĵojn elirantajn per iu ajn alia interfaco. La vojiga tabelo ankoraŭ listigas la lokan subreton kiel rekte ligitan, kaj tial la simptomo ŝajnas mensogo. Tri kondiĉoj decidas, kion fari pri tio, kaj nur unu el ili temas pri vojigo.

Du fiaskoj portas la saman simptomon

La unua fiasko estas la fail-closed-reĝimo de la kliento, kaj ĝia signo estas, ke ĉio ekster la tunelo haltas dum la tunelo mem funkcias perfekte. La dua estas vera atingebla problemo: mankanta vojo, mankanta ero sur la servilo por subreto malantaŭ la kliento, aŭ du retoj kun la sama adresaro. Ambaŭ donas maŝinon, kiu povas retumi kaj ne povas presi, kaj iliaj riparoj estas kontraŭaj, do la diagnozo devas veni antaŭ la agordo.

La distinga observo estas, ĉu la loka subreto ankoraŭ ĉeestas en la vojiga tabelo dum trafiko al ĝi estas forĵetata.

Tri kondiĉoj decidas la respondon

Unue, ĉu ĉi tiu maŝino bezonas fail-closed? Se la respondo estas jes, falinta tunelo devas haltigi trafikon anstataŭ lasi ĝin refali sur la fizikan interfacon, kaj tiu postulo pli gravas ol loka komforto. Due, ĉu lokaj aparatoj devas resti atingeblaj dum la tunelo estas supren? Presado, reta stokado kaj lokaj administraj konzoloj estas la kutimaj kialoj, kaj ili estas legitaj postuloj, ne esceptoj pri kiuj oni pardonpetu. Trie, ĉu la profilo esprimas la defaŭlton kiel laŭliteran 0.0.0.0/0? Ĝuste tiu detalo ekigas la regulojn de la kliento, kaj ĝi estas redaktebla.

Respondu al tiuj tri skribe antaŭ ol tuŝi profilon, ĉar ĉiu respondo montras al alia agordo.

Elektu fail-closed kaj rezignu pri la LAN

Se liko pli gravas ol loka atingeblo, konservu la laŭliteran defaŭlton kaj lasu Bloki netunelitan trafikon ŝaltita. Tio estas kohera starpunkto: la maŝino traktiĝas kiel aparato, kiu estas aŭ ene de la tunelo aŭ eksterrete, kaj lokaj servoj atingiĝas de alia aparato aŭ tra la tunelo, se la servilo vojigas ilin. La kosto estas reala kaj indas esti menciita en la surlokaj notoj, anstataŭ esti malkovrita de la persono, kiu devas presi.

Tio estas la ĝusta elekto por maŝinoj, kiuj prilaboras laboron, kiu ne rajtas aperi en kafeja reto kiam la tunelo falas. Ĝi estas malbona defaŭlto por hejma tekkomputilo, kiu ankaŭ bezonas la skanilon.

Elektu aliron al la LAN kaj esprimu la defaŭlton alimaniere

Se lokaj aparatoj devas resti atingeblaj, esprimu la saman kovradon sen la laŭlitera defaŭlta prefikso. Du duonaj prefiksoj kovras ĉiun IPv4-adreson, la ekvivalenta paro kovras IPv6, kaj la kliento ne plu enmetas la blokajn regulojn, ĉar la signoĉeno, kiun ĝi serĉas, mankas.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Forigi tiun markobutonon igas la klienton skribi la samajn du parojn en la profilon, do kompari la generitan dosieron kun la bloko supre estas rapida maniero konfirmi la mekanismon anstataŭ diveni ĝin. Sekvas du konsekvencoj. La kovrado estas identa, do nenio alia pri la tunelo ŝanĝiĝas. La protekto ne estas identa: kiam la reguloj foras, falinta tunelo lasas la maŝinon uzi sian fizikan interfacon, kaj ĝuste tion malhelpis fail-closed.

Kontrolu la aliajn du suspektatojn ĉiukaze

Post kiam la fajroŝirmila demando estas solvita, konfirmu, ke la loka subreto efektive vojigas kaj ke la fora fino scias pri ĉio malantaŭ ĉi tiu kliento. Servilo, kiu devas atingi LAN malantaŭ kliento, bezonas tiun prefikson en la permesita listo de la kliento sur la hubo; se vi preterlasos ĝin, la hubo ne povas elekti samtavolon por tiuj adresoj, kaj neniu kvanto da klienta agordo kreas unu.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

La reta kategorio pli gravas ol homoj atendas: nove kreita tunela adaptilo klasifikita kiel publika ŝanĝas, kiuj reguloj aplikiĝas al ĝi, kaj la rezulto povas aspekti kiel fajroŝirmila blokado ĉe la fora flanko. La voja presaĵo montras, ĉu defaŭlto entute ĉeestas, kio apartigas politikan problemon de mankanta vojo.

Poste testu tri aferojn en unu kunsido: la interreton, unu lokan gastiganton laŭ adreso kaj unu gastiganton tra la tunelo. La manpremo pruvas nur, ke la ŝlosiloj kongruas, do la tri testoj estas tio, kio montras la politikon. Se la loka gastiganto ankoraŭ rifuzas kun la opcio malplenigita, la restantaj suspektatoj estas la vojo, la permesita listo de la fora fino kaj la duobla subreto, en tiu ordo.