Hädaseiskamine või LAN-juurdepääs? Kaks vastust WireGuardi jaoks

Kätlus lõpeb, veebilehitsemine töötab ning printer, NAS ja kohalikud SSH-hostid kaovad. Windowsi kliendis ei ole see tavaliselt üldse marsruutimise tõrge: peer, mille lubatud prefiksid sisaldavad sõnasõnalist vaikeväärtust, aktiveerib suvandi Blokeeri tunnelist väljuv liiklus, ja see valik on rakendatud tulemüürireeglitena, mis viskavad kõrvale paketid, mis väljuvad mis tahes muust liidesest. Marsruutimistabel näitab kohalikku alamvõrku endiselt otseühendusena, mistõttu sümptom tundub valena. Mida sellega teha, otsustavad kolm tingimust, ja neist ainult üks puudutab marsruutimist.

Kaks tõrget kannavad sama sümptomit

Esimene tõrge on kliendi fail-closed-režiim ja selle tunnus on see, et kõik väljaspool tunnelit peatub, samal ajal kui tunnel ise töötab laitmatult. Teine on tõeline kättesaadavusprobleem: puuduv marsruut, puuduv kirje serveris kliendi taga oleva alamvõrgu jaoks või kaks võrku, mis jagavad sama aadressivahemikku. Mõlemad annavad masina, mis oskab lehitseda ja ei oska printida, ja nende parandused on vastandlikud, seega peab diagnoos tulema enne konfiguratsiooni.

Eristav tähelepanek on see, kas kohalik alamvõrk on marsruutimistabelis endiselt olemas, samal ajal kui liiklus sinna kõrvale visatakse.

Kolm tingimust otsustavad vastuse

Esiteks, kas see masin vajab fail-closed-režiimi? Kui vastus on jah, peab kukkunud tunnel liikluse peatama, selle asemel et lasta sellel füüsilisele liidesele tagasi langeda, ja see nõue kaalub üles kohaliku mugavuse. Teiseks, kas kohalikud seadmed peavad jääma kättesaadavaks, kuni tunnel on üleval? Printimine, võrgusalvestus ja kohalikud halduskonsoolid on tavalised põhjused ning need on õigustatud nõuded, mitte erandid, mille pärast vabandada. Kolmandaks, kas profiil väljendab vaikeväärtust sõnasõnalisena 0.0.0.0/0? Just see detail käivitab kliendi reeglid ja see on muudetav.

Vastake neile kolmele kirjalikult enne profiili puutumist, sest iga vastus osutab erinevale konfiguratsioonile.

Valige fail-closed ja loobuge LAN-ist

Kui lekkimine on tähtsam kui kohalik kättesaadavus, jätke sõnasõnaline vaikeväärtus alles ja hoidke Blokeeri tunnelist väljuv liiklus sees. See on sidus seisukoht: masinat käsitletakse seadmena, mis on kas tunneli sees või võrguühenduseta, ja kohalikele teenustele pääseb teisest seadmest või tunneli kaudu, kui server neid marsruudib. Hind on tegelik ja see tuleks kirjutada juurutamismärkmetesse, mitte jätta selle avastada inimesele, kes peab printima.

See on õige valik masinatele, mis teevad tööd, mis ei tohi kohvikuvõrgus ilmuda, kui tunnel katkeb. See on halb vaikeväärtus kodusele sülearvutile, mis vajab ka skannerit.

Valige LAN-juurdepääs ja väljendage vaikeväärtust teisiti

Kui kohalikud seadmed peavad jääma kättesaadavaks, väljendage sama katvust ilma sõnasõnalise vaikeväärtuse prefiksita. Kaks poolprefiksit katavad iga IPv4-aadressi, samaväärne paar katab IPv6, ja klient ei lisa enam blokeerivaid reegleid, sest otsitavat stringi ei ole.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Selle märkeruudu eemaldamine paneb kliendi profiili kirjutama samad kaks paari, seega on loodud faili võrdlemine ülaloleva plokiga kiire viis mehhanismi kinnitamiseks, mitte selle oletamiseks. Sellele järgneb kaks tagajärge. Katvus on identne, seega tunnelis ei muutu miski muu. Kaitse ei ole identne: kui reeglid on kadunud, jätab kukkunud tunnel masina oma füüsilist liidest kasutama, ja täpselt seda fail-closed ära hoidis.

Kontrollige mõlemat teist kahtlusalust igal juhul

Kui tulemüüri küsimus on lahendatud, kinnitage, et kohalik alamvõrk on tõesti marsruuditud ja et kaugpool teab kõigest selle kliendi taga. Server, mis peab jõudma kliendi taga olevasse LAN-i, vajab seda prefiksit kliendi lubatud loendis jaoturi juures; kui jätate selle välja, ei saa jaotur nendele aadressidele peer’i valida, ja ükski kliendi konfiguratsioon ei loo seda.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Võrgukategooria on tähtsam, kui inimesed eeldavad: äsja loodud tunneladapter, mis liigitatakse avalikuks, muudab, millised reeglid sellele kehtivad, ja tulemus võib näha välja nagu tulemüüri blokeering kaugpool. Marsruutide väljatrükk näitab, kas vaikeväärtus üldse olemas on, mis eraldab poliitikaprobleemi puuduvast marsruudist.

Seejärel testige ühes istungis kolme asja: internetti, üht kohalikku hosti aadressi järgi ja üht hosti läbi tunneli. Kätlus tõestab ainult seda, et võtmed klapivad, seega näitavad poliitikat just need kolm testi. Kui kohalik host keeldub endiselt pärast valiku tühjendamist, on allesjäänud kahtlusalused marsruut, kaugpoolne lubatud loend ja dubleeriv alamvõrk, selles järjekorras.