Sakelar darurat atau akses LAN? Dua jawaban untuk WireGuard

Jabat tangan selesai, penjelajahan berfungsi, dan printer, NAS serta host SSH lokal menghilang. Pada klien Windows ini biasanya sama sekali bukan kegagalan perutean: peer yang prefiks izinnya menyertakan default literal akan mengaktifkan Blokir lalu lintas di luar terowongan, dan opsi itu diterapkan sebagai aturan firewall yang membuang paket yang keluar melalui antarmuka lain mana pun. Tabel rute masih mencantumkan subnet lokal sebagai tautan langsung, karena itulah gejalanya terasa seperti kebohongan. Tiga kondisi menentukan apa yang harus dilakukan, dan hanya satu yang berkaitan dengan perutean.

Dua kegagalan memakai gejala yang sama

Kegagalan pertama adalah mode fail-closed klien, dan cirinya adalah semua yang berada di luar terowongan berhenti sementara terowongannya sendiri bekerja sempurna. Yang kedua adalah masalah keterjangkauan yang sebenarnya: rute yang hilang, entri yang hilang di server untuk subnet di belakang klien, atau dua jaringan yang berbagi rentang alamat yang sama. Keduanya menghasilkan mesin yang bisa menjelajah dan tidak bisa mencetak, dan perbaikannya berlawanan, jadi diagnosis harus datang sebelum konfigurasi.

Pengamatan yang membedakan adalah apakah subnet lokal masih ada di tabel rute sementara lalu lintas ke sana dibuang.

Tiga kondisi menentukan jawabannya

Pertama, apakah mesin ini perlu fail-closed? Jika jawabannya ya, terowongan yang putus harus menghentikan lalu lintas alih-alih membiarkannya kembali ke antarmuka fisik, dan persyaratan itu lebih penting daripada kenyamanan lokal. Kedua, apakah perangkat lokal harus tetap terjangkau selama terowongan aktif? Pencetakan, penyimpanan jaringan, dan konsol manajemen lokal adalah alasan yang biasa, dan itu persyaratan yang sah, bukan pengecualian yang perlu dimintakan maaf. Ketiga, apakah profil menyatakan default sebagai 0.0.0.0/0 literal? Detail itulah yang memicu aturan klien, dan itu dapat diedit.

Jawab ketiganya secara tertulis sebelum menyentuh profil, karena setiap jawaban mengarah ke konfigurasi yang berbeda.

Pilih fail-closed dan lepaskan LAN

Jika kebocoran lebih penting daripada keterjangkauan lokal, pertahankan default literal dan biarkan Blokir lalu lintas di luar terowongan tetap aktif. Itu posisi yang koheren: mesin diperlakukan sebagai perangkat yang entah berada di dalam terowongan atau offline, dan layanan lokal dijangkau dari perangkat lain atau melalui terowongan jika server merutekannya. Biayanya nyata dan sebaiknya dinyatakan dalam catatan penerapan, bukan ditemukan oleh orang yang perlu mencetak.

Ini pilihan yang tepat untuk mesin yang menangani pekerjaan yang tidak boleh muncul di jaringan kafe saat terowongan putus. Ini default yang buruk untuk laptop rumah yang juga membutuhkan pemindai.

Pilih akses LAN dan nyatakan default secara berbeda

Jika perangkat lokal harus tetap terjangkau, nyatakan cakupan yang sama tanpa prefiks default literal. Dua prefiks separuh mencakup setiap alamat IPv4, pasangan yang setara mencakup IPv6, dan klien tidak lagi menyisipkan aturan pemblokiran karena string yang dicarinya tidak ada.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Menghapus centang kotak itu membuat klien menulis dua pasangan yang sama ke profil, jadi membandingkan berkas yang dihasilkan dengan blok di atas adalah cara cepat untuk memastikan mekanismenya alih-alih menebaknya. Dua konsekuensi menyusul. Cakupannya identik, jadi tidak ada hal lain pada terowongan yang berubah. Perlindungannya tidak identik: dengan aturan hilang, terowongan yang putus membiarkan mesin memakai antarmuka fisiknya, dan itulah tepatnya yang dicegah fail-closed.

Periksa dua tersangka lainnya bagaimanapun juga

Setelah pertanyaan firewall selesai, pastikan subnet lokal benar-benar dirutekan dan bahwa ujung jauh mengetahui segala sesuatu di belakang klien ini. Server yang harus menjangkau LAN di belakang klien memerlukan prefiks itu dalam daftar izin klien di hub; hilangkan dan hub tidak dapat memilih peer untuk alamat tersebut, dan tidak ada konfigurasi klien yang membuatnya.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategori jaringan lebih penting daripada yang orang duga: adaptor terowongan yang baru dibuat dan diklasifikasikan sebagai publik mengubah aturan mana yang berlaku padanya, dan hasilnya bisa tampak seperti pemblokiran firewall di sisi jauh. Cetakan rute menunjukkan apakah ada default sama sekali, yang memisahkan masalah kebijakan dari rute yang hilang.

Lalu uji tiga hal dalam satu sesi: internet, satu host lokal berdasarkan alamat, dan satu host melalui terowongan. Jabat tangan hanya membuktikan kuncinya cocok, jadi ketiga uji itulah yang menunjukkan kebijakannya. Jika host lokal masih menolak setelah opsi dihapus, tersangka yang tersisa adalah rute, daftar izin ujung jauh, dan subnet ganda, dalam urutan itu.