Vészlekapcsolás vagy LAN-hozzáférés? Két válasz a WireGuardhoz

A kézfogás lezajlik, a böngészés működik, a nyomtató, a NAS és a helyi SSH-gazdagépek viszont eltűnnek. Windows-ügyfélen ez általában egyáltalán nem útválasztási hiba: az a peer, amelynek engedélyezett előtagjai tartalmazzák a szó szerinti alapértelmezést, aktiválja A nem alagúton átmenő forgalom blokkolása opciót, és ezt a beállítást tűzfal-szabályokként valósítják meg, amelyek eldobják bármely más interfészen kilépő csomagokat. Az útválasztási tábla továbbra is közvetlen kapcsolatként listázza a helyi alhálózatot, ezért a tünet hazugságnak tűnik. Három feltétel dönti el, mit kell tenni, és ezek közül csak egy szól az útválasztásról.

Két hiba ugyanazt a tünetet hordozza

Az első hiba az ügyfél fail-closed módja, ismertetőjele pedig az, hogy minden megáll az alagúton kívül, miközben maga az alagút kifogástalanul működik. A második valódi elérhetőségi probléma: hiányzó útvonal, hiányzó bejegyzés a kiszolgálón az ügyfél mögötti alhálózathoz, vagy két hálózat, amely ugyanazt a címtartományt használja. Mindkettő olyan gépet ad, amely tud böngészni és nem tud nyomtatni, a javításuk pedig ellentétes, ezért a diagnózisnak a konfiguráció előtt kell jönnie.

A megkülönböztető megfigyelés az, hogy a helyi alhálózat még szerepel-e az útválasztási táblában, miközben a felé irányuló forgalmat eldobják.

Három feltétel dönti el a választ

Először, szüksége van ennek a gépnek fail-closed módra? Ha a válasz igen, a lezuhanó alagútnak meg kell állítania a forgalmat, nem pedig visszaengednie a fizikai interfészre, és ez a követelmény fontosabb a helyi kényelemnél. Másodszor, elérhetőnek kell maradniuk a helyi eszközöknek, amíg az alagút fennáll? A nyomtatás, a hálózati tároló és a helyi felügyeleti konzolok a szokásos okok, és ezek jogos követelmények, nem pedig olyan kivételek, amelyekért bocsánatot kell kérni. Harmadszor, szó szerinti 0.0.0.0/0 alakban fejezi ki a profil az alapértelmezést? Pontosan ez a részlet indítja el az ügyfél szabályait, és ez szerkeszthető.

Válaszoljon erre a háromra írásban, mielőtt hozzányúl egy profilhoz, mert minden válasz más konfigurációra mutat.

Válassza a fail-closed módot, és mondjon le a LAN-ról

Ha a szivárgás fontosabb, mint a helyi elérhetőség, tartsa meg a szó szerinti alapértelmezést, és hagyja bekapcsolva A nem alagúton átmenő forgalom blokkolása opciót. Ez összefüggő álláspont: a gépet olyan eszközként kezelik, amely vagy az alagúton belül van, vagy offline, a helyi szolgáltatásokat pedig egy másik eszközről vagy az alagúton keresztül érik el, ha a kiszolgáló továbbítja őket. A költség valós, és a telepítési jegyzetekben kell szerepelnie, nem annak a személynek kell felfedeznie, akinek nyomtatnia kell.

Ez a helyes választás azoknak a gépeknek, amelyek olyan munkát végeznek, amelynek nem szabad megjelennie egy kávézó hálózatán, amikor az alagút lezuhan. Rossz alapértelmezés viszont egy otthoni laptophoz, amelynek a szkennerre is szüksége van.

Válassza a LAN-hozzáférést, és fejezze ki másképp az alapértelmezést

Ha a helyi eszközöknek elérhetőnek kell maradniuk, ugyanazt a lefedettséget a szó szerinti alapértelmezett előtag nélkül fejezze ki. Két fél előtag minden IPv4-címet lefed, a megfelelő pár lefedi az IPv6-ot, és az ügyfél már nem szúrja be a blokkoló szabályokat, mert hiányzik a keresett karaktersorozat.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

A jelölőnégyzet törlése arra készteti az ügyfelet, hogy ugyanazt a két párt írja a profilba, így a létrehozott fájl és a fenti blokk összehasonlítása gyors módja a mechanizmus megerősítésének, nem pedig találgatásnak. Két következménye van. A lefedettség azonos, így semmi más nem változik az alagúton. A védelem nem azonos: a szabályok eltűnésével a lezuhanó alagút magára hagyja a gépet a fizikai interfészén, és pontosan ezt akadályozta meg a fail-closed.

Ellenőrizze a másik két gyanúsítottat is

Miután a tűzfal kérdése tisztázódott, erősítse meg, hogy a helyi alhálózat valóban továbbítva van, és hogy a távoli vég tud mindarról, ami ezen ügyfél mögött van. Annak a kiszolgálónak, amelynek el kell érnie az ügyfél mögötti LAN-t, szüksége van erre az előtagra az ügyfél engedélyezett listáján a hubon; ha kihagyja, a hub nem tud peert választani ezekhez a címekhez, és semmilyen ügyfélkonfiguráció nem hoz létre egyet.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

A hálózati kategória többet számít, mint az emberek gondolnák: az újonnan létrehozott, nyilvánosként besorolt alagút-adapter megváltoztatja, milyen szabályok vonatkoznak rá, és az eredmény tűzfallal való blokkolásnak tűnhet a távoli oldalon. Az útvonalak kiírása megmutatja, hogy egyáltalán van-e alapértelmezés, ami elválasztja a házirend-problémát a hiányzó útvonaltól.

Ezután teszteljen három dolgot egy ülésben: az internetet, egy helyi gazdagépet cím szerint és egy gazdagépet az alagúton keresztül. A kézfogás csak azt bizonyítja, hogy a kulcsok egyeznek, tehát a házirendet a három teszt mutatja. Ha a helyi gazdagép a beállítás törlése után is elutasít, a maradék gyanúsított az útvonal, a távoli vég engedélyezett listája és a duplikált alhálózat, ebben a sorrendben.