Larrialdiko etenaldia edo LAN sarbidea? Bi erantzun WireGuardentzat

Ukondoa osatzen da, nabigazioak funtzionatzen du, eta inprimagailua, NASa eta tokiko SSH ostalariak desagertu egiten dira. Windows bezeroan hori ez da normalean bideratze-hutsegite hutsa ere: baimendutako aurrizkiek lehenetsi literala duten pare batek Blokeatu tunelatu gabeko trafikoa aktibatzen du, eta aukera hori beste edozein interfazetatik irteten diren paketeak baztertzen dituzten suebaki-arau gisa ezartzen da. Bideratze-taula tokiko azpisarea esteka zuzen gisa zerrendatzen jarraitzen du, eta horregatik sintomak gezurra ematen du. Hiru baldintzaren araberakoa da horri zer egin, eta horietako bat baino ez da bideratzeari buruzkoa.

Bi hutsegitek sintoma bera daramate

Lehen hutsegitea bezeroaren fail-closed modua da, eta haren ezaugarria zera da: tunelaz kanpoko guztia gelditzen da tunela bera ezin hobeto funtzionatzen duen bitartean. Bigarrena irisgarritasun arazo erreala da: falta den ibilbide bat, bezeroaren atzean dagoen azpisare baterako zerbitzarian falta den sarrera bat, edo sarrera-barruti bera partekatzen duten bi sare. Biek nabigatzeko gai eta inprimatzeko ez den makina ematen dute, eta haien konponbideak aurkakoak dira, beraz, diagnostikoak konfigurazioaren aurretik etorri behar du.

Behaketa bereizgarria tokiko azpisarea bideratze-taulategian oraindik dagoen ala ez da, hara doan trafikoa baztertzen den bitartean.

Hiru baldintzek erabakitzen dute erantzuna

Lehenik, behar du makina honek fail-closed? Erantzuna bai bada, erortzen den tunel batek trafikoa gelditu behar du, interfaz fisikoara itzultzen utzi beharrean, eta baldintza horrek tokiko erosotasunak baino gehiago pisatzen du. Bigarrenik, tokiko gailuek irisgarri jarraitu behar dute tunelean dagoen bitartean? Inprimatzea, sareko biltegiratzea eta tokiko kudeaketa-kontsolak dira ohiko arrazoiak, eta eskakizun legitimoak dira, ez barkamenik eskatu beharreko salbuespenak. Hirugarrenik, lehenetsia literalki 0.0.0.0/0 gisa adierazten al du profileak? Xehetasun hori da bezeroaren arauak abiarazten dituena, eta editagarria da.

Erantzun hiru horiei idatziz profilean ukitu aurretik, erantzun bakoitzak konfigurazio desberdin batera eramaten baitu.

Aukeratu fail-closed eta utzi LAN-a

Ihesak tokiko irisgarritasunak baino gehiago axola badio, mantendu lehenetsi literala eta utzi Blokeatu tunelatu gabeko trafikoa gaituta. Jarrera koherentea da: makina tunelean edo lineaz kanpo dagoen gailutzat hartzen da, eta tokiko zerbitzuetara beste gailu batetik edo tunela bidez iristen da, zerbitzariak bideratzen baditu. Kostua erreala da eta hedapen-oharretan aipatu beharko litzateke, inprimatu behar duen pertsonak aurkitu dezan baino.

Hau da aukera egokia tunela erortzen denean kafetegiko sare batean agertu behar ez den lana egiten duten makinentzat. Lehenetsi txarra da eskanerra ere behar duen etxeko ordenagailu eramangarri batentzat.

Aukeratu LAN sarbidea eta adierazi lehenetsia beste modu batean

Tokiko gailuek irisgarri jarraitu behar badute, adierazi estaldura bera lehenetsi literalaren aurrizkirik gabe. Bi erdi-aurrizkik IPv4 helbide guztiak estaltzen dituzte, bikote baliokideak IPv6 estaltzen du, eta bezeroak jada ez ditu blokeo-arauak txertatzen bilatzen duen katea falta delako.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Kontrol-lauki hori kentzeak bezeroak bi bikote berak profilean idaztea eragiten du, beraz sortutako fitxategia goiko blokearekin alderatzea mekanismoa asmatu beharrean baieztatzeko modu azkarra da. Bi ondorio datoz. Estaldura berdina da, beraz tunelean ez da besterik aldatzen. Babesa ez da berdina: arauak kenduta, erortzen den tunel batek makina bere interfaz fisikoa erabiltzen uzten du, eta fail-closed-ek hain zuzen hori eragozten zuen.

Egiaztatu beste bi susmagarriak nolanahi ere

Suebakiaren kontua argitu ondoren, egiaztatu tokiko azpisarea benetan bideratzen dela eta urruneko aldeak bezero honen atzean dagoen guztia ezagutzen duela. Bezero baten atzean dagoen LAN batera iritsi behar duen zerbitzariak aurrizki hori behar du bezeroaren baimendutako zerrendan hub-ean; kanpoan uzten baduzu, hub-ak ezin du pare bat aukeratu helbide horietarako, eta bezeroaren konfigurazio kopuruak ere ez du halakorik sortzen.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Sare-kategoriak uste baino gehiago axola du: publiko gisa sailkatutako tunel egokitzaile berri batek harengan aplikatzen diren arauak aldatzen ditu, eta emaitza urruneko aldean suebaki-blokeoa ematen du. Ibilbide-inprimaketak lehenetsia existitzen den ala ez erakusten du, eta horrek politika-arazoa falta den ibilbidetik bereizten du.

Ondoren probatu hiru gauza saio bakarrean: internet, tokiko ostalari bat helbidearen bidez eta tunelaren bidezko ostalari bat. Ukondoak gakoak bat datozela baino ez du frogatzen, beraz hiru probek erakusten dute politika. Tokiko ostalariak ukatzen jarraitzen badu aukera garbituta, gainerako susmagarriak ibilbidea, urruneko aldeko baimendutako zerrenda eta azpisare bikoiztua dira, ordena horretan.