Өзгөчө өчүрүүбү же LANга кирүүбү? WireGuard үчүн эки жооп

Кол алышуу аяктайт, серептөө иштейт, ал эми принтер, NAS жана жергиликтүү SSH хосттору жоголот. Windows кардарында бул адатта маршруттоо катасы такыр эмес: уруксат берилген префикстеринде сөзмө-сөз демейки бар теңдеш «Туннелден тышкаркы трафикти блоктоо» параметрин күйгүзөт, ал эми бул параметр башка каалаган интерфейстен чыккан пакеттерди таштаган брандмауэр эрежелери катары ишке ашырылган. Маршруттар таблицасы жергиликтүү ички тармакты дагы эле түз байланыш катары көрсөтөт, ошондуктан симптом жалган сыяктуу сезилет. Эмне кылууну үч шарт чечет, жана алардын бирөө гана маршруттоого тиешелүү.

Эки ката бирдей симптомду алып жүрөт

Биринчи ката — кардардын fail-closed режими, анын белгиси туннелден тышкаркы бардык нерсенин токтоп калышы, ал эми туннелдин өзү кемчиликсиз иштеши. Экинчиси — чыныгы жеткиликтүүлүк маселеси: жок маршрут, кардардын артындагы ички тармак үчүн серверде жок жазуу, же бирдей дарек диапазонун бөлүшкөн эки тармак. Экөө тең серептей алган, бирок басып чыгара албаган машина берет, жана алардын оңдоолору карама-каршы, ошондуктан диагностика конфигурациядан мурун келиши керек.

Айырмалаган байкоо — жергиликтүү ички тармак маршруттар таблицасында дагы барбы, ал эми ага баруучу трафик ташталып жатканда.

Үч шарт жоопту чечет

Биринчиден, бул машинага fail-closed керекпи? Жооп ооба болсо, кулаган туннель трафикти токтотушу керек, аны физикалык интерфейске кайтарууга жол бербей, жана бул талап жергиликтүү ыңгайлуулуктан жогору. Экинчиден, туннель күйүп турганда жергиликтүү түзмөктөр жеткиликтүү бойдон калышы керекпи? Басып чыгаруу, тармактык кампа жана жергиликтүү башкаруу консолдору адаттагы себептер, жана булар мыйзамдуу талаптар, кечирим суроого турган өзгөчөлүктөр эмес. Үчүнчүдөн, профиль демейкини сөзмө-сөз 0.0.0.0/0 деп билдиреби? Дал ушул деталь кардардын эрежелерин иштетет, жана аны оңдоого болот.

Профилге кол тийгизбестен мурун бул үчөөнө жазуу жүзүндө жооп бериңиз, анткени ар бир жооп башка конфигурацияга көрсөтөт.

fail-closed тандап, LANдан баш тартыңыз

Эгер агым жергиликтүү жеткиликтүүлүктөн маанилүү болсо, сөзмө-сөз демейкини сактап, «Туннелден тышкаркы трафикти блоктоо» күйүк абалында калтырыңыз. Бул ырааттуу позиция: машина туннелдин ичинде же тармактан тыш деп каралат, ал эми жергиликтүү кызматтарга башка түзмөктөн же сервер аларды маршруттаса туннель аркылуу жетүүгө болот. Чыгым реалдуу жана аны жайгаштыруу эскертүүлөрүндө көрсөтүү керек, басып чыгарууга туура келген адам өзү тапканга караганда.

Туннель кулаганда кафе тармагында көрүнбөшү керек болгон ишти аткарган машиналар үчүн бул туура тандоо. Сканери да керек болгон үйдөгү ноутбук үчүн бул начар демейки.

LANга кирүүнү тандап, демейкини башкача билдириңиз

Жергиликтүү түзмөктөр жеткиликтүү бойдон калышы керек болсо, ошол эле камтууну сөзмө-сөз демейки префикси жок билдириңиз. Эки жарым префикс ар бир IPv4 дарегин камтыйт, барабар жуп IPv6ны камтыйт, жана кардар эми блоктоочу эрежелерди киргизбейт, анткени ал издеген сап жок.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Ошол белгини алып салуу кардарды ошол эки жупту профилге жазууга мажбурлайт, ошондуктан жаралган файлды жогорудагы блок менен салыштыруу механизмди болжолдоонун ордуна ырастоонун тез жолу. Андан эки кесепет келип чыгат. Камтуу бирдей, ошондуктан туннелде башка эч нерсе өзгөрбөйт. Коргоо бирдей эмес: эрежелер кеткенде, кулаган туннель машинаны физикалык интерфейсин колдонууга калтырат, жана дал ушуну fail-closed алдын алчу.

Калган эки шектүүнү кандай болсо да текшериңиз

Брандмауэр маселеси чечилгенден кийин, жергиликтүү ички тармак чын эле маршрутталып жатканын жана алыс тарап бул кардардын артындагы бардык нерсени билерин ырастаңыз. Кардардын артындагы LANга жетүүгө тийиш серверге хабдагы кардардын уруксат берилген тизмесинде ошол префикс керек; аны калтырып кетсеңиз, хаб ошол даректер үчүн теңдеш тандай албайт, жана кардар конфигурациясы канча болбосун аны жаратпайт.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Тармак категориясы адамдар күткөндөн да маанилүү: жаңы жаралган туннель адаптери коомдук деп классификацияланса, ага кайсы эрежелер колдонулаары өзгөрөт, жана натыйжа алыс тарапта брандмауэр тосмосу сыяктуу көрүнүшү мүмкүн. Маршруттардын басылмасы демейкинин таптакыр бар-жогун көрсөтөт, бул саясат маселесин жок маршруттан ажыратат.

Андан кийин бир отурумда үч нерсени сынап көрүңүз: интернетти, дарек боюнча бир жергиликтүү хостту жана туннель аркылуу бир хостту. Кол алышуу ачкычтардын дал келгенин гана далилдейт, ошондуктан саясатты дал ушул үч тест көрсөтөт. Эгер параметр алынгандан кийин да жергиликтүү хост баш тартса, калган шектүүлөр — маршрут, алыс тараптын уруксат берилген тизмеси жана кайталанган ички тармак, ушундай тартипте.