Արտակարգ անջատում կամ LAN մուտք։ Երկու պատասխան WireGuard-ի համար

Ձեռքսեղմումն ավարտվում է, զննարկումն աշխատում է, և տպիչը, NAS-ը ու տեղական SSH հոսթները անհետանում են։ Windows-ի հաճախորդում սա սովորաբար ամենևին էլ երթուղավորման ձախողում չէ․ զուգընկերը, որի թույլատրված նախածանցերը պարունակում են բառացի լռելյայնը, միացնում է Արգելափակել թունելից դուրս երթևեկությունը, և այդ ընտրանքն իրականացվում է որպես հրապատի կանոններ, որոնք դեն են նետում ցանկացած այլ ինտերֆեյսով դուրս եկող փաթեթները։ Երթուղիների աղյուսակը դեռ ցույց է տալիս տեղական ենթացանցը որպես ուղիղ կապ, դրա համար էլ ախտանիշը ստի տպավորություն է թողնում։ Ինչ անել դրա հետ, որոշում են երեք պայման, և դրանցից միայն մեկն է երթուղավորման մասին։

Երկու ձախողում նույն ախտանիշն ունեն

Առաջին ձախողումը հաճախորդի fail-closed ռեժիմն է, և նրա նշանն այն է, որ թունելից դուրս ամեն ինչ կանգ է առնում, մինչ ինքը թունելը կատարյալ է աշխատում։ Երկրորդն իսկական հասանելիության խնդիր է․ բացակայող երթուղի, սերվերի վրա բացակայող գրառում հաճախորդի հետևում գտնվող ենթացանցի համար, կամ երկու ցանցեր, որոնք կիսում են նույն հասցեների տիրույթը։ Երկուսն էլ տալիս են մեքենա, որը կարող է զննարկել և չի կարող տպել, և նրանց լուծումները հակառակ են, ուստի ախտորոշումը պետք է գա կարգավորումից առաջ։

Տարբերակող դիտարկումն այն է, թե արդյոք տեղական ենթացանցը դեռ առկա է երթուղիների աղյուսակում, մինչ դեպի այն երթևեկությունը դեն է նետվում։

Երեք պայման որոշում են պատասխանը

Առաջին՝ արդյոք այս մեքենային պետք է fail-closed։ Եթե պատասխանը այո է, ընկնող թունելը պետք է կանգնեցնի երթևեկությունը, փոխարենը թույլ տալու այն վերադառնալ ֆիզիկական ինտերֆեյս, և այդ պահանջը գերակա է տեղական հարմարավետությունից։ Երկրորդ՝ արդյոք տեղական սարքերը պետք է մնան հասանելի, քանի դեռ թունելը միացված է։ Տպագրությունը, ցանցային պահոցը և տեղական կառավարման կոնսոլները սովորական պատճառներն են, և դրանք օրինական պահանջներ են, ոչ թե բացառություններ, որոնց համար պետք է ներողություն խնդրել։ Երրորդ՝ արդյոք պրոֆիլը լռելյայնն արտահայտում է որպես բառացի 0.0.0.0/0։ Հենց այդ մանրամասն է միացնում հաճախորդի կանոնները, և այն խմբագրելի է։

Պատասխանեք այս երեքին գրավոր, նախքան պրոֆիլին դիպչելը, որովհետև յուրաքանչյուր պատասխան մատնանշում է այլ կարգավորում։

Ընտրեք fail-closed-ը և հրաժարվեք LAN-ից

Եթե արտահոսքն ավելի կարևոր է, քան տեղական հասանելիությունը, պահեք բառացի լռելյայնը և թողեք Արգելափակել թունելից դուրս երթևեկությունը միացված։ Սա հետևողական դիրքորոշում է․ մեքենան դիտվում է որպես սարք, որը կա՛մ թունելի ներսում է, կա՛մ անցանց, իսկ տեղական ծառայություններին հասնում են այլ սարքից կամ թունելով, եթե սերվերը երթուղավորում է դրանք։ Արժեքն իրական է և պետք է նշվի տեղակայման նշումներում, այլ ոչ թե հայտնաբերվի այն մարդու կողմից, ում պետք է տպել։

Սա ճիշտ ընտրություն է այն մեքենաների համար, որոնք կատարում են աշխատանք, որը չպետք է հայտնվի սրճարանի ցանցում, երբ թունելն ընկնում է։ Վատ լռելյայն է տնային նոթբուքի համար, որին սկաներն էլ է պետք։

Ընտրեք LAN մուտքը և լռելյայնն արտահայտեք այլ կերպ

Եթե տեղական սարքերը պետք է մնան հասանելի, արտահայտեք նույն ծածկույթը առանց բառացի լռելյայն նախածանցի։ Երկու կես նախածանց ծածկում են յուրաքանչյուր IPv4 հասցե, համարժեք զույգը ծածկում է IPv6-ը, և հաճախորդն այլևս չի մտցնում արգելափակող կանոնները, որովհետև այն տողը, որը նա փնտրում է, բացակայում է։

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Այդ նշագծի հեռացումը ստիպում է հաճախորդին նույն երկու զույգերը գրել պրոֆիլում, ուստի ստեղծված ֆայլը վերևի բլոկի հետ համեմատելը մեխանիզմը գուշակելու փոխարեն հաստատելու արագ ձև է։ Դրանից բխում է երկու հետևանք։ Ծածկույթը նույնական է, ուստի թունելում այլ բան չի փոխվում։ Պաշտպանությունը նույնական չէ․ կանոնների անհետանալով՝ ընկնող թունելը թողնում է մեքենային օգտագործել իր ֆիզիկական ինտերֆեյսը, և հենց դա էր կանխում fail-closed-ը։

Ստուգեք մյուս երկու կասկածյալներին ամեն դեպքում

Երբ հրապատի հարցը պարզված է, հաստատեք, որ տեղական ենթացանցն իսկապես երթուղավորվում է, և որ հեռավոր կողմը գիտի այս հաճախորդի հետևում եղած ամեն ինչի մասին։ Սերվերին, որը պետք է հասնի հաճախորդի հետևի LAN-ին, այդ նախածանցն անհրաժեշտ է հանգույցում հաճախորդի թույլատրված ցանկում․ բաց թողեք այն, և հանգույցը չի կարողանա զուգընկեր ընտրել այդ հասցեների համար, և հաճախորդի ոչ մի կարգավորում չի ստեղծի այն։

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Ցանցի կատեգորիան ավելի կարևոր է, քան մարդիկ են սպասում․ նոր ստեղծված թունելի ադապտերը, որը դասակարգվում է որպես հանրային, փոխում է, թե որ կանոններն են դրա վրա տարածվում, և արդյունքը կարող է թվալ որպես հրապատի արգելափակում հեռավոր կողմում։ Երթուղիների արտատպումը ցույց է տալիս, թե արդյոք ընդհանրապես կա լռելյայն, ինչը տարանջատում է քաղաքականության խնդիրը բացակայող երթուղուց։

Ապա փորձարկեք երեք բան մեկ նստաշրջանում․ ինտերնետը, մեկ տեղական հոսթ ըստ հասցեի և մեկ հոսթ թունելով։ Ձեռքսեղմումը միայն ապացուցում է, որ բանալիները համընկնում են, ուստի հենց երեք փորձարկումներն են ցույց տալիս քաղաքականությունը։ Եթե տեղական հոսթը դեռ մերժում է ընտրանքը մաքրելուց հետո, մնացած կասկածյալներն են երթուղին, հեռավոր կողմի թույլատրված ցանկը և կրկնվող ենթացանցը, այդ հերթականությամբ։