કિલ સ્વિચ કે LAN ઍક્સેસ? WireGuard માટે બે જવાબ

હૅન્ડશેક પૂરો થાય છે, બ્રાઉઝિંગ કામ કરે છે, અને પ્રિન્ટર, NAS તથા સ્થાનિક SSH હોસ્ટ અદૃશ્ય થઈ જાય છે. Windows ક્લાયન્ટમાં આ સામાન્ય રીતે રાઉટિંગની નિષ્ફળતા જ નથી હોતી: જે પીઅરનાં મંજૂર પ્રીફિક્સમાં શબ્દશઃ ડિફૉલ્ટ હોય છે તે ટનલની બહારનાં ટ્રાફિકને બ્લોક કરો સક્રિય કરે છે, અને એ વિકલ્પ ફાયરવૉલ નિયમો તરીકે લાગુ થાય છે જે બીજા કોઈ પણ ઇન્ટરફેસ દ્વારા નીકળતાં પૅકેટ કાઢી નાખે છે. રૂટ ટેબલ સ્થાનિક સબનેટને હજી પણ સીધી કડી તરીકે દર્શાવે છે, એટલે લક્ષણ જૂઠું લાગે છે. એના પર શું કરવું તે ત્રણ શરતો નક્કી કરે છે, અને તેમાંથી ફક્ત એક જ રાઉટિંગ વિશે છે.

બે નિષ્ફળતાઓ એક જ લક્ષણ ધરાવે છે

પ્રથમ નિષ્ફળતા ક્લાયન્ટની fail-closed સ્થિતિ છે, અને એની ઓળખ એ છે કે ટનલની બહારનું બધું થંભી જાય છે જ્યારે ટનલ પોતે નિર્દોષ રીતે કામ કરે છે. બીજી સાચી પહોંચની સમસ્યા છે: ખૂટતો રૂટ, ક્લાયન્ટ પાછળના સબનેટ માટે સર્વર પર ખૂટતી એન્ટ્રી, અથવા એક જ સરનામા શ્રેણી વહેંચતા બે નેટવર્ક. બંને એવું મશીન આપે છે જે બ્રાઉઝ કરી શકે અને પ્રિન્ટ કરી શકે નહીં, અને તેમના ઉકેલ વિરોધી છે, એટલે નિદાન ગોઠવણી પહેલાં આવવું જોઈએ.

ભેદક અવલોકન એ છે કે સ્થાનિક સબનેટ હજી રૂટ ટેબલમાં છે કે નહીં, જ્યારે એ તરફનું ટ્રાફિક કાઢી નાખવામાં આવે છે.

ત્રણ શરતો જવાબ નક્કી કરે છે

પ્રથમ, શું આ મશીનને fail-closed જોઈએ? જવાબ હા હોય, તો પડતી ટનલે ટ્રાફિક થોભાવવો જોઈએ, તેને ભૌતિક ઇન્ટરફેસ પર પાછો જવા દેવાને બદલે, અને એ જરૂરિયાત સ્થાનિક સુવિધા કરતાં વધુ મહત્ત્વની છે. બીજું, ટનલ ચાલુ હોય ત્યારે સ્થાનિક ઉપકરણો પહોંચવા યોગ્ય રહેવાં જોઈએ? પ્રિન્ટિંગ, નેટવર્ક સ્ટોરેજ અને સ્થાનિક સંચાલન કન્સોલ સામાન્ય કારણો છે, અને એ કાયદેસરની જરૂરિયાતો છે, જેના માટે માફી માગવાના અપવાદ નથી. ત્રીજું, શું પ્રોફાઇલ ડિફૉલ્ટને શબ્દશઃ 0.0.0.0/0 તરીકે વ્યક્ત કરે છે? એ જ વિગત ક્લાયન્ટના નિયમો સક્રિય કરે છે, અને એ સંપાદનયોગ્ય છે.

પ્રોફાઇલને અડકતાં પહેલાં આ ત્રણેયના લેખિત જવાબ આપો, કારણ કે દરેક જવાબ અલગ ગોઠવણી તરફ ઇશારો કરે છે.

fail-closed પસંદ કરો અને LAN છોડી દો

જો લીકેજ સ્થાનિક પહોંચ કરતાં વધુ મહત્ત્વનું હોય, તો શબ્દશઃ ડિફૉલ્ટ રાખો અને ટનલની બહારનાં ટ્રાફિકને બ્લોક કરો ચાલુ રાખો. આ સુસંગત વલણ છે: મશીનને એવા ઉપકરણ તરીકે ગણવામાં આવે છે જે કાં તો ટનલમાં છે અથવા ઑફલાઇન છે, અને સ્થાનિક સેવાઓ બીજા ઉપકરણથી અથવા સર્વર તેમને રાઉટ કરે તો ટનલ દ્વારા પહોંચવામાં આવે છે. ખર્ચ વાસ્તવિક છે અને તે તૈનાતી નોંધમાં લખવો જોઈએ, જે વ્યક્તિએ પ્રિન્ટ કરવું છે તેણે શોધવાને બદલે.

ટનલ પડે ત્યારે કૅફે નેટવર્ક પર જે દેખાવું ન જોઈએ એવું કામ કરતાં મશીનો માટે આ સાચી પસંદગી છે. સ્કૅનર પણ જોઈએ એવા ઘરના લૅપટૉપ માટે આ ખરાબ ડિફૉલ્ટ છે.

LAN ઍક્સેસ પસંદ કરો અને ડિફૉલ્ટ બીજી રીતે વ્યક્ત કરો

જો સ્થાનિક ઉપકરણો પહોંચવા યોગ્ય રહેવાં જોઈએ, તો શબ્દશઃ ડિફૉલ્ટ પ્રીફિક્સ વિના એ જ આવરણ વ્યક્ત કરો. બે અડધા પ્રીફિક્સ દરેક IPv4 સરનામું આવરી લે છે, સમાન જોડી IPv6 આવરી લે છે, અને ક્લાયન્ટ હવે બ્લૉક કરતા નિયમો દાખલ કરતું નથી કારણ કે તે જે શબ્દમાળા શોધે છે તે ગેરહાજર છે.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

એ ચેકબૉક્સ દૂર કરવાથી ક્લાયન્ટ પ્રોફાઇલમાં એ જ બે જોડી લખે છે, એટલે બનાવેલી ફાઇલની ઉપરના બ્લૉક સાથે સરખામણી કરવી એ અનુમાન કરવાને બદલે પદ્ધતિની પુષ્ટિ કરવાનો ઝડપી રસ્તો છે. તેમાંથી બે પરિણામ આવે છે. આવરણ સમાન છે, એટલે ટનલમાં બીજું કંઈ બદલાતું નથી. સુરક્ષા સમાન નથી: નિયમો ગયા પછી, પડતી ટનલ મશીનને તેના ભૌતિક ઇન્ટરફેસનો ઉપયોગ કરવા દે છે, અને fail-closed એ જ અટકાવતું હતું.

બાકીના બે શંકાસ્પદો ગમે તેમ ચકાસો

ફાયરવૉલનો પ્રશ્ન નક્કી થયા પછી, ખાતરી કરો કે સ્થાનિક સબનેટ ખરેખર રાઉટ થાય છે અને દૂરનો છેડો આ ક્લાયન્ટ પાછળની દરેક વસ્તુ જાણે છે. ક્લાયન્ટ પાછળના LAN સુધી પહોંચવાનું હોય એવા સર્વરને હબ પર ક્લાયન્ટની મંજૂર યાદીમાં એ પ્રીફિક્સ જોઈએ; તેને છોડી દો તો હબ એ સરનામાંઓ માટે પીઅર પસંદ કરી શકતું નથી, અને કોઈ પણ ક્લાયન્ટ ગોઠવણી એક પણ બનાવતી નથી.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

નેટવર્ક શ્રેણી લોકો ધારે તેના કરતાં વધુ મહત્ત્વની છે: નવો બનાવેલો ટનલ અૅડૅપ્ટર જાહેર તરીકે વર્ગીકૃત થાય તો તેના પર કયા નિયમો લાગુ પડે છે તે બદલાય છે, અને પરિણામ દૂરના છેડે ફાયરવૉલ બ્લૉક જેવું લાગી શકે છે. રૂટ પ્રિન્ટ બતાવે છે કે ડિફૉલ્ટ બિલકુલ છે કે નહીં, જે નીતિની સમસ્યાને ખૂટતા રૂટથી અલગ પાડે છે.

પછી એક જ બેઠકમાં ત્રણ વસ્તુ ચકાસો: ઇન્ટરનેટ, સરનામા દ્વારા એક સ્થાનિક હોસ્ટ, અને ટનલ દ્વારા એક હોસ્ટ. હૅન્ડશેક ફક્ત એ સાબિત કરે છે કે કી મેળ ખાય છે, એટલે ત્રણેય પરીક્ષણ જ નીતિ દર્શાવે છે. વિકલ્પ દૂર કર્યા પછી પણ સ્થાનિક હોસ્ટ ઇનકાર કરે તો બાકીના શંકાસ્પદ રૂટ, દૂરના છેડાની મંજૂર યાદી અને નકલી સબનેટ છે, એ જ ક્રમમાં.