Needstop of LAN-tagong? Twa antwurden foar WireGuard

De hânskud foltôget, browsen wurket, en de printer, de NAS en de lokale SSH-hosts ferdwine. Op ’e Windows-klient is dat meastentiids hielendal gjin routingflater: in peer waans tastiene prefiksen de letterlike standert befetsje, aktivearret Blokkearje net-tunelle ferkear, en dy opsje is útfierd as firewallregels dy’t pakketten weismite dy’t fia hokker oare ynterface ek fuortgeane. De rûtetabel listet it lokale subnet noch altyd as in direkte ferbining, sadat it symptoom as in leagen fielt. Trije betingsten bepale wat deroan te dwaan is, en mar ien dêrfan giet oer routing.

Twa flaters drage itselde symptoom

De earste flater is de fail-closed-modus fan ’e klient, en syn skaaimerk is dat alles bûten de tunnel stilstiet wylst de tunnel sels perfekt wurket. De twadde is in echt berikberensprobleem: in ûntbrekkende rûte, in ûntbrekkende ynfier op ’e tsjinner foar in subnet efter de klient, of twa netwurken dy’t itselde adresberik diele. Beide jouwe in masine dy’t browsen kin en net printsje kin, en harren oplossingen binne tsjinsteld, dus de diagnoaze moat foar de konfiguraasje komme.

De ûnderskiedende observaasje is oft it lokale subnet noch yn ’e rûtetabel stiet wylst ferkear dêrhinne weismiten wurdt.

Trije betingsten bepale it antwurd

Earst, hat dizze masine fail-closed nedich? Is it antwurd ja, dan moat in tunnel dy’t falt it ferkear stopje ynstee fan it werom te fallen op ’e fysike ynterface, en dy eask waacht swierder as lokaal gemak. Twadde, moatte lokale apparaten berikber bliuwe wylst de tunnel oan is? Printsjen, netwurkopslach en lokale beheerkonsoles binne de gewoane redenen, en it binne legitime easken, gjin útsûnderingen dêr’t men ferûntskuldiging foar freegje moat. Tredde, drukt it profyl de standert út as in letterlik 0.0.0.0/0? Krekt dat detail aktivearret de regels fan ’e klient, en it is bewurkber.

Beäntwurdzje dy trije skriftlik foardat jo in profyl oanreitsje, want elk antwurd wiist op in oare konfiguraasje.

Kies fail-closed en jou it LAN op

As lekkage wichtiger is as lokale berikberens, hâld dan de letterlike standert en lit Blokkearje net-tunelle ferkear oan. Dat is in gearhingjend stânpunt: de masine wurdt behannele as in apparaat dat of yn ’e tunnel of offline is, en lokale tsjinsten wurde berikt fan in oar apparaat of fia de tunnel as de tsjinner se rûtet. De kosten binne echt en moatte yn ’e ynstallaasje-notysjes stean, ynstee fan ûntdutsen te wurden troch de persoan dy’t printsje moat.

Dit is de goede kar foar masines dy’t wurk dogge dat net op in kafeenetwurk ferskine mei as de tunnel falt. It is in minne standert foar in thús-laptop dy’t ek de skanner nedich hat.

Kies LAN-tagong en druk de standert oars út

As lokale apparaten berikber bliuwe moatte, druk dan deselde dekking út sûnder it letterlike standertprefiks. Twa healprefiksens dekke elk IPv4-adres, it lykweardige pear dekt IPv6, en de klient foeget de blokkearjende regels net mear ta om’t de tekenrige dy’t er siket ûntbrekt.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

It fuortheljen fan dat fakje lit de klient deselde twa pearen yn it profyl skriuwe, dat it fergelykjen fan it generearre bestân mei it blok hjirboppe is in snelle manier om it meganisme te befêstigjen ynstee fan it te rieden. Twa gefolgen folgje. De dekking is identyk, dat der feroaret neat oars oan ’e tunnel. De beskerming is net identyk: mei de regels fuort, lit in tunnel dy’t falt de masine syn fysike ynterface brûke, en dat is krekt wat fail-closed tsjinkaam.

Kontrolearje de beide oare fertochten likegoed

Ienris de firewall-fraach besljochte, befêstigje dat it lokale subnet echt rûte wurdt en dat de fiere kant wit fan alles efter dizze klient. In tsjinner dy’t in LAN efter in klient berikke moat, hat dat prefiks nedich yn ’e tastiene list fan ’e klient op ’e hub; lit it wei en de hub kin gjin peer foar dy adressen kieze, en gjin inkelde kliïntkonfiguraasje makket ien.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

De netwerkkategory telt mear as minsken ferwachtsje: in nij makke tunneladapter dy’t as iepenbier klassifisearre wurdt, feroaret hokker regels derop fan tapassing binne, en it resultaat kin der as in firewallblokkade oan ’e fiere kant útsjen. De rûte-ôfdruk lit sjen oft der oait in standert is, wat in beliedsprobleem fan in ûntbrekkende rûte skiedt.

Test dan trije dingen yn ien sitting: it ynternet, ien lokaal host op adres, en ien host troch de tunnel. It hânskud bewiist allinnich dat kaaien oerienkomme, dus de trije tests binne wat it belied sjen lit. Mocht it lokale host noch wegere mei de opsje fuort, dan binne de oerbleaune fertochten de rûte, de tastiene list fan ’e fiere kant en it dûbele subnet, yn dy folchoarder.