Төтенше өшіру ме, әлде LAN-ға кіру ме? WireGuard үшін екі жауап

Қол алысу аяқталады, шолу жұмыс істейді, ал принтер, NAS және жергілікті SSH хосттары жоғалады. Windows клиентінде бұл әдетте маршруттау ақауы мүлдем емес: рұқсат етілген префикстерінде сөзбе-сөз әдепкі бар теңдес «Туннельден тыс трафикті блоктау» опциясын қосады, ал бұл опция кез келген басқа интерфейстен шыққан пакеттерді тастайтын брандмауэр ережелері ретінде жүзеге асырылған. Маршруттар кестесі жергілікті ішкі желіні әлі де тікелей байланыс ретінде көрсетеді, сондықтан симптом өтірік сияқты сезіледі. Не істеу керектігін үш шарт шешеді, және олардың тек біреуі маршруттауға қатысты.

Екі ақау бір симптомды ұстайды

Бірінші ақау — клиенттің fail-closed режимі, оның белгісі туннельден тыс барлық нәрсенің тоқтауы, ал туннельдің өзі мінсіз жұмыс істеуі. Екіншісі — нақты қолжетімділік мәселесі: жоқ маршрут, клиенттің артындағы ішкі желі үшін серверде жоқ жазба немесе бірдей мекенжай диапазонын бөлісетін екі желі. Екеуі де шолу жасай алатын, бірақ басып шығара алмайтын машина береді, ал олардың түзетулері қарама-қарсы, сондықтан диагностика конфигурациядан бұрын келуі керек.

Айыратын байқау — жергілікті ішкі желі маршруттар кестесінде әлі бар ма, ал оған баратын трафик тасталып жатқанда.

Үш шарт жауапты шешеді

Біріншіден, бұл машинаға fail-closed керек пе? Жауап иә болса, құлаған туннель трафикті тоқтатуы керек, оны физикалық интерфейске қайтаруға жол бермей, және бұл талап жергілікті жайлылықтан жоғары. Екіншіден, туннель қосулы кезде жергілікті құрылғылар қолжетімді болып қалуы керек пе? Басып шығару, желілік қойма және жергілікті басқару консольдері әдеттегі себептер, және бұлар заңды талаптар, кешірім сұрайтын ерекшеліктер емес. Үшіншіден, профиль әдепкіні сөзбе-сөз 0.0.0.0/0 деп өрнектей ме? Дәл осы бөлшек клиент ережелерін іске қосады, және оны өңдеуге болады.

Профильге қол тигізбес бұрын осы үшеуіне жазбаша жауап беріңіз, өйткені әр жауап басқа конфигурацияға нұсқайды.

fail-closed таңдап, LAN-нан бас тартыңыз

Егер ағу жергілікті қолжетімділіктен маңыздырақ болса, сөзбе-сөз әдепкіні сақтап, «Туннельден тыс трафикті блоктау» қосулы күйінде қалдырыңыз. Бұл дәйекті ұстаным: машина туннельдің ішінде немесе желіден тыс болатын құрылғы ретінде қаралады, ал жергілікті қызметтерге басқа құрылғыдан немесе сервер оларды маршруттаса туннель арқылы жетеді. Шығын нақты және оны орналастыру жазбаларында көрсету керек, басып шығаруы қажет адам өзі тапқанына қарағанда.

Туннель құлағанда кафе желісінде көрінбеуі тиіс жұмыспен айналысатын машиналар үшін бұл дұрыс таңдау. Сканері де қажет үйдегі ноутбук үшін бұл нашар әдепкі.

LAN-ға кіруді таңдап, әдепкіні басқаша өрнектеңіз

Жергілікті құрылғылар қолжетімді болып қалуы керек болса, сол қамтуды сөзбе-сөз әдепкі префиксінсіз өрнектеңіз. Екі жарты префикс әрбір IPv4 мекенжайын қамтиды, баламалы жұп IPv6-ны қамтиды, және клиент енді блоктаушы ережелерді енгізбейді, өйткені ол іздейтін жол жоқ.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Сол белгіні алып тастау клиентті сол екі жұпты профильге жазуға мәжбүр етеді, сондықтан құрылған файлды жоғарыдағы блокпен салыстыру механизмді болжаудың орнына растаудың жылдам жолы. Одан екі салдар туындайды. Қамту бірдей, сондықтан туннельде басқа ештеңе өзгермейді. Қорғаныс бірдей емес: ережелер кеткенде, құлаған туннель машинаны физикалық интерфейсін пайдалануға қалдырады, және дәл осыны fail-closed болдырмайтын.

Қалған екі күдіктіні қалай болса да тексеріңіз

Брандмауэр мәселесі шешілген соң, жергілікті ішкі желі шынымен маршрутталатынын және алыс жақ осы клиенттің артындағының бәрін білетінін растаңыз. Клиенттің артындағы LAN-ға жетуі тиіс серверге хабтағы клиенттің рұқсат етілген тізімінде сол префикс керек; оны қалдырып кетсеңіз, хаб сол мекенжайларға теңдес таңдай алмайды, және клиент конфигурациясының қанша болса да оны жасамайды.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Желі санаты адамдар күткеннен де маңыздырақ: жаңадан жасалған туннель адаптері жария деп жіктелсе, оған қандай ережелер қолданылатыны өзгереді, және нәтиже алыс жақта брандмауэр бөгеті сияқты көрінуі мүмкін. Маршруттар басылымы әдепкінің мүлдем бар-жоғын көрсетеді, бұл саясат мәселесін жоқ маршруттан ажыратады.

Содан кейін бір отырыста үш нәрсені сынап көріңіз: интернетті, мекенжай бойынша бір жергілікті хостты және туннель арқылы бір хостты. Қол алысу кілттердің сәйкестігін ғана дәлелдейді, сондықтан саясатты дәл осы үш тест көрсетеді. Егер опция алынып тасталғаннан кейін де жергілікті хост бас тартса, қалған күдіктілер — маршрут, алыс жақтың рұқсат етілген тізімі және қайталанған ішкі желі, осы тәртіппен.