Noutstopp oder LAN-Zougrëff? Zwee Äntwerten fir WireGuard

Den Handshake geet duerch, d’Browsing funktionéiert, an den Drécker, den NAS an déi lokal SSH-Hosten verschwannen. Um Windows-Client ass dat meeschtens guer kee Routingfehler: e Peer, deem seng erlaabt Präfixer den literalen Default enthalen, aktivéiert Net-tunneléierte Verkéier blockéieren, an déi Optioun ass als Firewall-Reegelen ëmgesat, déi Pakete verwerfen, déi iwwer eng aner Interface erausginn. D’Routentabell weist de lokale Subnetz nach ëmmer als direkt Verbindung, dofir fillt sech de Symptom wéi eng Ligen. Dräi Bedingunge bestëmmen, wat ze maachen ass, an nëmmen eng dovun ass iwwer Routing.

Zwee Feeler droen dee selwechte Symptom

Den éischte Feeler ass de Fail-Closed-Modus vum Client, a säin Zeeche ass, datt alles ausserhalb vum Tunnel stoppt, während den Tunnel selwer perfekt funktionéiert. Den zweete ass en richtegen Erreechbarkeetsproblem: eng feelend Route, en feelenden Aschreiwung um Server fir en Subnetz hannert dem Client, oder zwou Netzwierker mat demselwecht Adressberäich. Béid erginn eng Maschinn, déi browsen an net drécken kann, an hir Léisunge sinn entgéintgesat, dofir muss d’Diagnos virun der Konfiguratioun kommen.

D’ënnerscheedend observatioun ass, ob de lokale Subnetz nach an der Routentabell steet, während Verkéier dohinner verworf gëtt.

Dräi Bedingunge bestëmmen d’Äntwert

Éischtens, brauch dës Maschinn Fail-Closed? Wann d’Äntwert jo ass, muss en Tunnel, deen erausfält, de Verkéier stoppen, amplaz en op déi physesch Interface zréckfalen ze loossen, an déi Ufuerderung weit méi wéi lokal Komfort. Zweetens, mussen déi lokal Geräter erreechbar bleiwen, während den Tunnel uewen ass? Drécken, Netzwierkspäicher an lokal Verwaltungskonsolen sinn déi gewéinlech Grënn, an dat si legitim Ufuerderungen, keng Ausnamen, fir déi ee sech entschüllegt. Drëttens, dréckt de Profil den Default als literalen 0.0.0.0/0 aus? Genau deen Detail löst d’Reegele vum Client aus, an en ass änderbar.

Äntwert op dës dräi schrëftlech, ier Dir e Profil ufänkt, well all Äntwert op eng aner Konfiguratioun weist.

Wielt Fail-Closed a gitt d’LAN op

Wann d’Leckage wichteger ass wéi lokal Erreechbarkeet, behält den literalen Default a loosst Net-tunneléierte Verkéier blockéieren ugeschalt. Dat ass eng kohärent Positioun: d’Maschinn gëtt als Gerät behandelt, dat entweder am Tunnel oder offline ass, an déi lokal Servicer ginn vun engem aneren Gerät oder duerch den Tunnel erreecht, wann de Server se routéiert. D’Käschte sinn real a solle an den Deployment-Notizen stoen, amplaz vun der Persoun entdeckt ze ginn, déi drécke muss.

Dëst ass déi richteg Wiel fir Maschinnen, déi Aarbecht maachen, déi net an engem Café-Netzwierk optriede soll, wann den Tunnel erausfält. Et ass en schlechten Default fir en Heem-Laptop, deen och de Scanner brauch.

Wielt LAN-Zougrëff an dréckt den Default anescht aus

Wann déi lokal Geräter erreechbar musse bleiwen, dréckt déiselwecht Ofdeckung ouni de literalen Defaultpräfix aus. Zwee Hallefpräfixer decken all IPv4-Adress of, de entspriechende Pair deckt IPv6 of, an de Client setzt d’blockéierend Reegele net méi an, well d’Zeecheketten, déi en sicht, feelt.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

D’Këscht ewechzehuelen bréngt de Client dozou, déiselwecht zwee Pairen an de Profil ze schreiwen, dofir ass de Verglach vun der generéierter Datei mam Block hei uewen e schnelle Wee, de Mechanismus ze bestätegen amplaz en ze roden. Zwee Konsequenzen folgen. D’Ofdeckung ass identesch, also ännert sech soss näischt um Tunnel. De Schutz ass net identesch: wa d’Reegele fort sinn, léisst en erausgefalen Tunnel d’Maschinn hir physesch Interface benotzen, an genau dat huet Fail-Closed verhënnert.

Kuckt déi aner zwee Verdächtegt trotzdeem un

Soubal d’Firewall-Fro gekläert ass, bestätegt, datt de lokale Subnetz tatsächlech geroutéiert gëtt an datt de wäiten Enn vun allem hannert dësem Client weess. E Server, deen eng LAN hannert engem Client erreeche muss, brauch dee Präfix an der erlaabter Lëscht vum Client um Hub; loosst en ewech, an den Hub kann keen Peer fir déi Adressen auswielen, a keng Client-Konfiguratioun schaaft een.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

D’Netzwierkkategorie zielt méi, wéi d’Leit erwaarden: en nei erstallten Tunneladapter, deen als ëffentlech klasséiert gëtt, ännert, wéi eng Reegele fir hien gëllen, an d’Resultat kann wéi eng Firewallspär op der wäiter Säit ausgesinn. D’Routenausgab weist, ob iwwerhaapt en Default do ass, wat e Richtlinneproblem vun enger feelender Route trennt.

Test dann dräi Saachen an enger Sëtzung: den Internet, een lokalen Host no Adress, an een Host duerch den Tunnel. Den Handshake beweist nëmmen, datt d’Schlëssel iwwereneestëmmen, also weisen déi dräi Tester d’Richtlinn. Wa refuséiert den lokalen Host nach, wann d’Optioun ewech ass, sou sinn déi reschtlech Verdächteger d’Route, déi erlaabt Lëscht vun der wäiter Säit an den duebele Subnetz, an där Reihenfolge.