Avārijas slēdzis vai LAN piekļuve? Divas atbildes WireGuard

Rokas sasveicināšanās pabeidzas, pārlūkošana darbojas, un printeris, NAS un vietējie SSH resursdatori pazūd. Windows klientā tas parasti nemaz nav maršrutēšanas bojājums: vienādrangais, kura atļautie prefiksi ietver burtisko noklusējumu, ieslēdz Blokuot ārpus tunela ejošu datplūsmu, un šī opcija ir ieviesta kā ugunsmūra noteikumi, kas izmet paketes, kuras iziet pa jebkuru citu saskarni. Maršrutu tabula joprojām rāda vietējo apakštīklu kā tiešu savienojumu, tāpēc simptoms šķiet kā meli. Ko ar to darīt, izlemj trīs nosacījumi, un tikai viens no tiem attiecas uz maršrutēšanu.

Divas kļūmes nes vienu un to pašu simptomu

Pirmais bojājums ir klienta fail-closed režīms, un tā pazīme ir tāda, ka viss ārpus tunela apstājas, kamēr pats tunelis darbojas nevainojami. Otrais ir īsta sasniedzamības problēma: trūkstošs maršruts, trūkstošs ieraksts serverī apakštīklam aiz klienta vai divi tīkli ar vienu un to pašu adrešu diapazonu. Abi dod mašīnu, kas prot pārlūkot un neprot drukāt, un to labojumi ir pretēji, tāpēc diagnostikai jānāk pirms konfigurācijas.

Atšķirošais novērojums ir tas, vai vietējais apakštīkls vēl ir maršrutu tabulā, kamēr datplūsma uz to tiek izmesta.

Trīs nosacījumi izlemj atbildi

Pirmkārt, vai šai mašīnai ir vajadzīgs fail-closed? Ja atbilde ir jā, kritušam tunelim jāaptur datplūsma, nevis jāļauj tai atgriezties fiziskajā saskarnē, un šī prasība ir svarīgāka par vietējo ērtību. Otrkārt, vai vietējām ierīcēm jāpaliek sasniedzamām, kamēr tunelis ir aktīvs? Drukāšana, tīkla krātuve un vietējās pārvaldības konsoles ir ierastie iemesli, un tās ir leģitīmas prasības, nevis izņēmumi, par kuriem jāatvainojas. Treškārt, vai profils noklusējumu izsaka kā burtisku 0.0.0.0/0? Tieši šī detaļa iedarbina klienta noteikumus, un to var rediģēt.

Atbildiet uz šiem trim rakstiski, pirms aiztiekat profilu, jo katra atbilde norāda uz citu konfigurāciju.

Izvēlieties fail-closed un atsakieties no LAN

Ja noplūde ir svarīgāka par vietējo sasniedzamību, saglabājiet burtisko noklusējumu un atstājiet Blokuot ārpus tunela ejošu datplūsmu ieslēgtu. Tā ir konsekventa pozīcija: mašīna tiek uzskatīta par ierīci, kas ir vai nu tunelī, vai bezsaistē, un vietējie pakalpojumi tiek sasniegti no citas ierīces vai caur tuneli, ja serveris tos maršrutē. Izmaksas ir reālas, un tās jānorāda izvietošanas piezīmēs, nevis jāatklāj cilvēkam, kuram jādrukā.

Šī ir pareizā izvēle mašīnām, kas veic darbu, kuram nevajadzētu parādīties kafejnīcas tīklā, kad tunelis krīt. Tā ir slikts noklusējums mājas klēpjdatoram, kuram vajadzīgs arī skeneris.

Izvēlieties LAN piekļuvi un izsakiet noklusējumu citādi

Ja vietējām ierīcēm jāpaliek sasniedzamām, izsakiet to pašu pārklājumu bez burtiskā noklusējuma prefiksa. Divi pusprefiksi aptver katru IPv4 adresi, ekvivalentais pāris aptver IPv6, un klients vairs neievieto bloķējošos noteikumus, jo meklētā virkne nav atrodama.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Šīs atzīmes noņemšana liek klientam ierakstīt profilā tos pašus divus pārus, tāpēc ģenerētā faila salīdzināšana ar iepriekšminēto bloku ir ātrs veids, kā apstiprināt mehānismu, nevis to minēt. No tā izriet divas sekas. Pārklājums ir identisks, tāpēc nekas cits tunelī nemainās. Aizsardzība nav identiska: noteikumiem izzūdot, kritušais tunelis ļauj mašīnai izmantot tās fizisko saskarni, un tieši to fail-closed novērsa.

Pārbaudiet abus pārējos aizdomās turamos jebkurā gadījumā

Kad ugunsmūra jautājums ir noskaidrots, apstipriniet, ka vietējais apakštīkls patiešām tiek maršrutēts un ka tālā puse zina par visu, kas atrodas aiz šī klienta. Serverim, kuram jāsasniedz LAN aiz klienta, šis prefikss ir vajadzīgs klienta atļauto sarakstā uz koncentratora; ja to izlaidīsiet, koncentrators nevarēs izvēlēties vienādrango šīm adresēm, un neviena klienta konfigurācija to neizveidos.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Tīkla kategorija ir svarīgāka, nekā cilvēki gaida: nesen izveidots tuneļa adapteris, kas klasificēts kā publisks, maina to, kuri noteikumi uz to attiecas, un rezultāts var izskatīties kā ugunsmūra bloķēšana tālajā pusē. Maršrutu izdruka parāda, vai noklusējums vispār pastāv, un tas atdala politikas problēmu no trūkstoša maršruta.

Pēc tam vienā sesijā pārbaudiet trīs lietas: internetu, vienu vietējo resursdatoru pēc adreses un vienu resursdatoru caur tuneli. Rokas sasveicināšanās pierāda tikai to, ka atslēgas sakrīt, tāpēc politiku parāda tieši trīs testi. Ja vietējais resursdators joprojām atsaka ar notīrītu opciju, atlikušie aizdomās turamie ir maršruts, tālās puses atļauto saraksts un dublētais apakštīkls, šādā secībā.