Neyðarrof eða LAN-aðgangur? Tvö svör fyrir WireGuard

Handabandið klárast, vafrið virkar, og prentarinn, NAS-tækið og staðbundnu SSH-hýslarnir hverfa. Í Windows-biðlinum er þetta venjulega alls ekki leiðarfrávilla: jafningi sem hefur hina bókstaflegu sjálfgefnu forskeyti meðal leyfðra forskeyta kveikir á Loka fyrir umferð utan göngsins, og sá valkostur er útfærður sem eldveggjarreglur sem henda pakkum sem fara út um hvaða annað viðmót sem er. Leiðatöflan sýnir enn staðbundna undirnetið sem beina tengingu, og þess vegna virðist einkennið vera lygi. Þrjú skilyrði ráða því hvað á að gera, og aðeins eitt þeirra snýst um leiðingu.

Tvær bilanir bera sama einkenni

Fyrsta bilunin er fail-closed-stilling biðlarans, og einkenni hennar er að allt utan göngsins stöðvast á meðan gangið sjálft virkar fullkomlega. Önnur er raunverulegt aðgengisvandamál: leið sem vantar, færsla sem vantar á þjóninum fyrir undirnet bak við biðlarann, eða tvö net sem deila sama vistfangsbili. Bæði gefa vél sem getur vafrað og getur ekki prentað, og lagfæringar þeirra eru andstæðar, svo greiningin verður að koma á undan stillingunum.

Það sem greinir á er hvort staðbundna undirnetið er enn í leiðatöflunni á meðan umferð til þess er hent.

Þrjú skilyrði ráða svarinu

Í fyrsta lagi, þarf þessi vél fail-closed? Ef svarið er já verður gang sem fellur að stöðva umferð í stað þess að hleypa henni aftur á líkamlega viðmótið, og sú krafa gengur framar staðbundnum þægindum. Í öðru lagi, verða staðbundin tæki að vera aðgengileg meðan gangið er uppi? Prentun, netgeymsla og staðbundin stjórnborð eru venjulegu ástæðurnar, og þær eru lögmætar kröfur, ekki undantekningar sem á að biðjast afsökunar fyrir. Í þriðja lagi, tjáir sniðið sjálfgefna gildið sem bókstaflegt 0.0.0.0/0? Einmitt sú smáatriði kallar fram reglur biðlarans, og hún er breytanleg.

Svarið þessum þremur skriflega áður en þið snertið snið, því hvert svar bendir á aðra stillingu.

Veljið fail-closed og látið LANið af hendi

Ef leki skiptir meira máli en staðbundið aðgengi skuluð þið halda hinu bókstaflega sjálfgefna gildi og láta Loka fyrir umferð utan göngsins vera virkt. Það er samkvæm afstaða: vélin er meðhöndluð sem tæki sem er annaðhvort inni í ganginu eða ótengt, og staðbundnum þjónustum er náð frá öðru tæki eða í gegnum gangið ef þjónninn leiðir þær. Kostnaðurinn er raunverulegur og ætti að koma fram í uppsetningarpunktum, frekar en að sá sem þarf að prenta uppgötvi hann.

Þetta er rétti kosturinn fyrir vélar sem vinna vinnu sem má ekki birtast á kaffihúsaneti þegar gangið fellur. Það er slæmt sjálfgefið gildi fyrir heimilisfartölvu sem þarf líka skannann.

Veljið LAN-aðgang og tjáið sjálfgefna gildið öðruvísi

Ef staðbundin tæki verða að vera aðgengileg skuluð þið tjá sömu umgjörð án hins bókstaflega sjálfgefna forskeytis. Tvö hálf forskeyti ná yfir hvert IPv4-vistfang, samsvarandi par nær yfir IPv6, og biðlarinn setur ekki lengur inn lokandi reglurnar því strengurinn sem hann leitar að er ekki til staðar.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Að hreinsa þann gátreit fær biðlarann til að skrifa sömu tvö pörin í sniðið, svo að bera myndaðu skrána saman við blokkina hér að ofan er fljótleg leið til að staðfesta virknina í stað þess að giska á hana. Tvær afleiðingar fylgja. Umgjörðin er sú sama, svo ekkert annað við gangið breytist. Verndin er ekki sú sama: þegar reglurnar eru horfnar lætur gang sem fellur vélina nota líkamlega viðmótið sitt, og einmitt það var það sem fail-closed kom í veg fyrir.

Athugið hina tvo grunuðu hvort sem er

Þegar búið er að leysa eldveggjarmálið skuluð þið staðfesta að staðbundna undirnetið sé raunverulega leitt og að fjarlægi endinn viti um allt bak við þennan biðlara. Þjónn sem þarf að ná í LAN bak við biðlara þarf það forskeyti í leyfðum lista biðlarans á miðstöðinni; sleppið því og miðstöðin getur ekki valið jafningja fyrir þessi vistföng, og engin biðlarastilling býr til einn.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Netflokkurinn skiptir meira máli en fólk á von á: nýstofnað gangviðmót sem flokkast sem almennings breytir því hvaða reglur gilda um það, og niðurstaðan getur litið út eins og eldveggslokun hinum megin. Leiðaprentunin sýnir hvort sjálfgefið gildi er yfirleitt til staðar, sem aðgreinir stefnumál frá leið sem vantar.

Prófið síðan þrennt í einni setu: internetið, einn staðbundinn hýsil eftir vistfangi og einn hýsil í gegnum gangið. Handabandið sannar aðeins að lyklarnir passi, svo það eru prófin þrjú sem sýna stefnuna. Ef staðbundni hýsillinn neitar enn þegar valkosturinn er hreinsaður eru eftir grunaðir leiðin, leyfði listinn hinum megin og tvítekið undirnetið, í þeirri röð.