Hätäkatkaisu vai LAN-yhteys? Kaksi vastausta WireGuardille

Kättely valmistuu, selailu toimii, ja tulostin, NAS sekä paikalliset SSH-isännät katoavat. Windows-asiakkaassa tämä ei yleensä ole lainkaan reititysvirhe: vertaispää, jonka sallitut etuliitteet sisältävät kirjaimellisen oletuksen, aktivoi Estä tunnelin ulkopuolinen liikenne -asetuksen, ja se on toteutettu palomuurisäännöillä, jotka hylkäävät paketit, jotka lähtevät mitä tahansa muuta liitäntää pitkin. Reititystaulukko näyttää paikallisen aliverkon edelleen suorana yhteytenä, siksi oire tuntuu valheelta. Mitä sille pitäisi tehdä, ratkaisevat kolme ehtoa, ja vain yksi niistä koskee reititystä.

Kaksi vikaa kantaa samaa oiretta

Ensimmäinen vika on asiakkaan fail-closed-tila, ja sen tunnusmerkki on, että kaikki tunnelin ulkopuolella pysähtyy, kun taas itse tunneli toimii moitteettomasti. Toinen on todellinen tavoitettavuusongelma: puuttuva reitti, puuttuva merkintä palvelimella asiakkaan takana olevasta aliverkosta tai kaksi verkkoa, jotka jakavat saman osoitealueen. Molemmat tuottavat koneen, joka osaa selata eikä osaa tulostaa, ja niiden korjaukset ovat vastakkaisia, joten diagnoosin on tultava ennen kokoonpanoa.

Ratkaiseva havainto on, onko paikallinen aliverkko yhä reititystaulukossa, kun sinne menevä liikenne hylätään.

Kolme ehtoa ratkaisee vastauksen

Ensinnäkin, tarvitseeko tämä kone fail-closed-tilaa? Jos vastaus on kyllä, kaatuvan tunnelin on pysäytettävä liikenne sen sijaan, että se päästetään takaisin fyysiselle liitännälle, ja tämä vaatimus painaa enemmän kuin paikallinen mukavuus. Toiseksi, onko paikallisten laitteiden pysyttävä tavoitettavissa, kun tunneli on päällä? Tulostus, verkkotallennus ja paikalliset hallintakonsolit ovat tavalliset syyt, ja ne ovat oikeutettuja vaatimuksia, eivät poikkeuksia, joita pitäisi pyydellä anteeksi. Kolmanneksi, ilmaiseeko profiili oletuksen kirjaimellisena 0.0.0.0/0? Juuri tämä yksityiskohta laukaisee asiakkaan säännöt, ja se on muokattavissa.

Vastaa noihin kolmeen kirjallisesti ennen kuin kosket profiiliin, sillä jokainen vastaus osoittaa eri kokoonpanoon.

Valitse fail-closed ja luovu LAN-verkosta

Jos vuoto on tärkeämpää kuin paikallinen tavoitettavuus, pidä kirjaimellinen oletus ja jätä Estä tunnelin ulkopuolinen liikenne päälle. Se on johdonmukainen kanta: konetta kohdellaan laitteena, joka on joko tunnelin sisällä tai offline-tilassa, ja paikallisiin palveluihin päästään toisesta laitteesta tai tunnelin kautta, jos palvelin reitittää ne. Hinta on todellinen ja se pitäisi mainita käyttöönottomuistiinpanoissa, eikä jättää sen henkilön löydettäväksi, jonka täytyy tulostaa.

Tämä on oikea valinta koneille, jotka tekevät työtä, joka ei saa näkyä kahvilan verkossa, kun tunneli katkeaa. Se on huono oletus kotikannettavalle, joka tarvitsee myös skannerin.

Valitse LAN-yhteys ja ilmaise oletus toisin

Jos paikallisten laitteiden on pysyttävä tavoitettavissa, ilmaise sama kattavuus ilman kirjaimellista oletusetuliitettä. Kaksi puolietuliitettä kattaa jokaisen IPv4-osoitteen, vastaava pari kattaa IPv6:n, eikä asiakas enää lisää estäviä sääntöjä, koska etsitty merkkijono puuttuu.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Valintaruudun tyhjentäminen saa asiakkaan kirjoittamaan samat kaksi paria profiiliin, joten luodun tiedoston vertaaminen yllä olevaan lohkoon on nopea tapa vahvistaa mekanismi sen arvaamisen sijaan. Siitä seuraa kaksi asiaa. Kattavuus on sama, joten mikään muu tunnelissa ei muutu. Suojaus ei ole sama: kun säännöt ovat poissa, kaatuva tunneli jättää koneen käyttämään fyysistä liitäntäänsä, ja juuri sitä fail-closed esti.

Tarkista molemmat muut epäillyt joka tapauksessa

Kun palomuurikysymys on ratkaistu, varmista, että paikallinen aliverkko todella reititetään ja että etäpää tietää kaikesta tämän asiakkaan takana. Palvelin, jonka on päästävä asiakkaan takana olevaan LAN-verkkoon, tarvitsee kyseisen etuliitteen asiakkaan sallittuun luetteloon keskitimessä; jos jätät sen pois, keskitin ei voi valita vertaispäätä noille osoitteille, eikä mikään asiakaskokoonpano luo sellaista.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Verkkokategorialla on enemmän merkitystä kuin ihmiset odottavat: äskettäin luotu tunnelisovitin, joka luokitellaan julkiseksi, muuttaa sitä, mitkä säännöt siihen pätevät, ja tulos voi näyttää palomuurin estolta etäpäässä. Reittituloste näyttää, onko oletusta ylipäätään olemassa, mikä erottaa käytäntöongelman puuttuvasta reitistä.

Testaa sitten kolme asiaa yhdellä kertaa: internet, yksi paikallinen isäntä osoitteen perusteella ja yksi isäntä tunnelin kautta. Kättely todistaa vain, että avaimet täsmäävät, joten juuri kolme testiä osoittavat käytännön. Jos paikallinen isäntä yhä kieltäytyy, kun asetus on tyhjennetty, jäljellä olevat epäillyt ovat reitti, etäpään sallittu luettelo ja päällekkäinen aliverkko, tuossa järjestyksessä.