Итно исклучување или пристап до LAN? Два одговора за WireGuard

Ракувањето завршува, прелистувањето работи, а печатачот, NAS и локалните SSH домаќини исчезнуваат. Во клиентот за Windows ова обично воопшто не е дефект на рутирањето: партнерот чии дозволени префикси го содржат буквалното стандардно го активира Блокирај сообраќај надвор од тунелот, а таа опција е изведена како правила на огнениот ѕид што ги отфрлаат пакетите што излегуваат низ кој било друг интерфејс. Табелата со рути уште ја прикажува локалната подмрежа како директна врска, затоа симптомот изгледа како лага. Што да се прави со тоа одлучуваат три услови, а само еден од нив е за рутирањето.

Два дефекта носат ист симптом

Првиот дефект е режимот fail-closed на клиентот, а неговиот знак е што целиот сообраќај надвор од тунелот запира додека самиот тунел работи беспрекорно. Вториот е вистински проблем со достапноста: рута што недостига, запис што недостига на серверот за подмрежа зад клиентот, или две мрежи што делат ист опсег на адреси. Двете даваат машина што може да прелистува и не може да печати, а нивните поправки се спротивни, па дијагнозата мора да дојде пред конфигурацијата.

Разликувачкото набљудување е дали локалната подмрежа уште е во табелата со рути додека сообраќајот кон неа се отфрла.

Три услови ја одлучуваат постапката

Прво, дали на оваа машина ѝ треба fail-closed? Ако одговорот е да, паднат тунел мора да го запре сообраќајот наместо да го врати на физичкиот интерфејс, и тоа барање е поважно од локалната удобност. Второ, дали локалните уреди мора да останат достапни додека тунелот е активен? Печатењето, мрежното складиште и локалните конзоли за управување се вообичаените причини, и тие се легитимни барања, а не исклучоци за кои треба да се извинуваме. Трето, дали профилот го изразува стандардното како буквално 0.0.0.0/0? Токму тој детаљ ги активира правилата на клиентот, и тој е менлив.

Одговорете на овие три писмено пред да допрете профил, бидејќи секој одговор упатува на друга конфигурација.

Изберете fail-closed и откажете се од LAN

Ако истекувањето е поважно од локалната достапност, задржете го буквалното стандардно и оставете Блокирај сообраќај надвор од тунелот вклучено. Тоа е кожерентна позиција: машината се третира како уред што е или во тунелот или офлајн, а локалните услуги се достигаат од друг уред или преку тунелот ако серверот ги рутира. Цената е вистинска и треба да се наведе во белешките за распоредување, наместо да ја открие лицето што треба да печати.

Ова е правилниот избор за машини што работат работа што не смее да се појави на мрежа во кафуле кога тунелот паѓа. Тоа е лошо стандардно за домашен преносен компјутер на кој му треба и скенерот.

Изберете пристап до LAN и изразете го стандардното поинаку

Ако локалните уреди мора да останат достапни, изразете го истото покривање без буквалниот стандарден префикс. Два половина префикса го покриваат секоја IPv4 адреса, еквивалентниот пар го покрива IPv6, и клиентот повеќе не ги вметнува блокирачките правила затоа што низата што ја бара отсутствува.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Отстранувањето на таа ознака го тера клиентот да ги запише истите два пара во профилот, па споредувањето на генерираната датотека со блокот погоре е брз начин да се потврди механизмот наместо да се претпоставува. Следуваат две последици. Покривањето е идентично, па ништо друго во тунелот не се менува. Заштитата не е идентична: кога правилата ги нема, паднат тунел ја остава машината на нејзиниот физички интерфејс, и токму тоа го спречуваше fail-closed.

Проверете ги и другите два сомнителни во секој случај

Откако прашањето за огнениот ѕид е решено, потврдете дека локалната подмрежа навистина се рутира и дека далечниот крај знае за сето она што е зад овој клиент. На серверот што мора да стигне до LAN зад клиент му треба тој префикс во дозволената листа на клиентот на концентраторот; ако го испуштите, концентраторот не може да избере партнер за тие адреси, и никаква конфигурација на клиентот не создава таков.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Категоријата на мрежата е поважна отколку што луѓето очекуваат: новосоздаден адаптер за тунел класифициран како јавен менува кои правила се применуваат на него, и резултатот може да изгледа како блокирање од огнен ѕид на далечната страна. Исписот на рутите покажува дали воопшто има стандардно, што го одделува проблемот со политиката од рута што недостига.

Потоа во една седница испробајте три работи: интернетот, еден локален домаќин по адреса и еден домаќин низ тунелот. Ракувањето докажува само дека клучевите се совпаѓаат, па политиката ја покажуваат токму трите теста. Ако локалниот домаќин уште одбива со исчистена опција, останатите сомнителни се рутата, дозволената листа на далечната страна и дупликат подмрежата, по тој редослед.