Яаралтай унтраах уу, эсвэл LAN хандалт уу? WireGuard-д зориулсан хоёр хариулт

Гарын барилт дуусч, хөтлөлт ажиллаж, харин принтер, NAS болон локал SSH хостнууд алга болно. Windows клиент дээр энэ нь ихэвчлэн чиглүүлэлтийн алдаа огт биш: зөвшөөрөгдсөн префикстээ шууд утгаар өгөгдмөлийг агуулсан пиер «Туннелээс гадуурх урсгалыг блоклох»-ыг идэвхжүүлдэг бөгөөд энэ сонголт нь бусад интерфэйсээр гарч буй пакетуудыг хаядаг галт хананы дүрэм хэлбэрээр хэрэгжсэн. Чиглүүлэлтийн хүснэгт локал дэд сүлжээг одоо ч шууд холбоос гэж харуулдаг тул шинж тэмдэг худал мэт санагддаг. Үүнийг юу хийхийг гурван нөхцөл шийддэг бөгөөд тэдгээрийн зөвхөн нэг нь чиглүүлэлтийн тухай.

Хоёр алдаа нэг шинж тэмдэг илэрхийлнэ

Эхний алдаа нь клиентийн fail-closed горим бөгөөд түүний шинж нь туннелээс гадуур бүх зүйл зогсож, харин туннел өөрөө төгс ажиллах явдал юм. Хоёр дахь нь бодит хүртээмжийн асуудал: дутуу маршрут, клиентийн ард байгаа дэд сүлжээний сервер дээрх дутуу бичлэг, эсвэл ижил хаягийн мужийг хуваалцдаг хоёр сүлжээ. Хоёулаа хөтөлж чаддаг ч хэвлэж чаддаггүй машин үүсгэдэг бөгөөд тэдгээрийн засвар эсрэгээрээ байдаг тул оношилгоо тохиргооноос өмнө ирэх ёстой.

Ялгарах ажиглалт нь локал дэд сүлжээ чиглүүлэлтийн хүснэгтэд одоо ч байгаа эсэх, түүн рүү чиглэсэн урсгал хаягдаж байх үед.

Гурван нөхцөл хариултыг шийднэ

Нэгд, энэ машинд fail-closed хэрэгтэй юу? Хариулт тийм бол унасан туннель урсгалыг зогсоох ёстой, түүнийг физик интерфэйс рүү буцаахыг зөвшөөрөхгүйгээр, бөгөөд энэ шаардлага локал тав тухыг хэтэлнэ. Хоёрт, туннель ажиллаж байх хооронд локал төхөөрөмжүүд хүртээмжтэй хэвээр байх ёстой юу? Хэвлэх, сүлжээний агуулах, локал удирдлагын консолууд нь ерийн шалтгаан бөгөөд эдгээр нь хууль ёсны шаардлага, уучлалт гуйх онцгой тохиолдол биш. Гуравт, профайл өгөгдмөлийг шууд утгаар 0.0.0.0/0 гэж илэрхийлж байна уу? Яг энэ нарийн ширийн клиентийн дүрмийг идэвхжүүлдэг бөгөөд үүнийг засах боломжтой.

Профайлд хүрэхээс өмнө эдгээр гурван асуултад бичгээр хариулна уу, учир нь хариулт бүр өөр тохиргоо руу заадаг.

fail-closed-ыг сонгож, LAN-аас татгалзана уу

Хэрэв алдагдал локал хүртээмжээс чухал бол шууд утгаар өгөгдмөлийг хадгалж, «Туннелээс гадуурх урсгалыг блоклох»-ыг асаалттай үлдээнэ үү. Энэ нь уялдаатай байр суурь: машин нь туннель дотор эсвэл офлайн байдаг төхөөрөмж гэж үзэгдэж, локал үйлчилгээнд өөр төхөөрөмжөөс эсвэл сервер тэдгээрийг чиглүүлж байвал туннелээр хүрдэг. Зардал бодит бөгөөд үүнийг байршуулалтын тэмдэглэлд бичих ёстой, хэвлэх шаардлагатай хүн өөрөө олж мэдэхээс илүү.

Туннель унах үед кафены сүлжээнд харагдах ёсгүй ажил хийдэг машинуудад энэ нь зөв сонголт юм. Сканерт мөн хэрэгтэй гэрийн зөөврийн компьютерт энэ нь муу өгөгдмөл юм.

LAN хандалтыг сонгож, өгөгдмөлийг өөрөөр илэрхийлнэ үү

Локал төхөөрөмжүүд хүртээмжтэй хэвээр байх ёстой бол ижил хамрах хүрээг шууд утгаар өгөгдмөл префиксгүйгээр илэрхийлнэ үү. Хоёр хагас префикс IPv4 хаяг бүрийг хамарч, тэнцүү хос IPv6-г хамарч, клиент хайж буй мөр байхгүй тул блоклох дүрмийг оруулахаа болино.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Тэр тэмдэглэгээг авах нь клиентийг ижил хоёр хосыг профайлд бичихэд хүргэдэг тул үүсгэсэн файлыг дээрх блоктой харьцуулах нь механизмыг таамаглахын оронд баталгаажуулах хурдан арга юм. Үүнээс хоёр үр дагавар гарна. Хамрах хүрээ ижил тул туннельд өөр юу ч өөрчлөгдөхгүй. Хамгаалалт ижил биш: дүрмүүд алга болоход унасан туннель машиныг физик интерфэйс дээр нь үлдээдэг бөгөөд яг үүнийг fail-closed сэргийлж байсан.

Үлдсэн хоёр сэжигтнийг ямар ч тохиолдолд шалгана уу

Галт хананы асуудал шийдэгдсэний дараа локал дэд сүлжээ үнэхээр чиглүүлэгдэж байгаа, алслагдсан тал энэ клиентийн ард байгаа бүхнийг мэдэж байгааг баталгаажуулна уу. Клиентийн ард байгаа LAN-д хүрэх серверт хаб дээрх клиентийн зөвшөөрөгдсөн жагсаалтад тэр префикс хэрэгтэй; үүнийг орхивол хаб тэдгээр хаягт пиер сонгож чадахгүй бөгөөд ямар ч клиент тохиргоо үүнийг үүсгэхгүй.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Сүлжээний ангилал хүмүүсийн хүлээхээс илүү чухал: шинээр үүссэн туннелийн адаптер нийтийн гэж ангилагдвал түүнд ямар дүрэм үйлчлэх нь өөрчлөгдөж, үр дүн алслагдсан талд галт хананы блоклосон мэт харагдаж болно. Маршрутын хэвлэл өгөгдмөл байгаа эсэхийг харуулж, энэ нь бодлогын асуудлыг дутуу маршрутаас ялгадаг.

Дараа нь нэг суултад гурван зүйлийг туршина уу: интернэт, хаягаар нэг локал хост, туннелээр нэг хост. Гарын барилт түлхүүрүүд таарч байгааг л баталдаг тул бодлогыг яг тэр гурван тест харуулдаг. Хэрэв сонголтыг арилгасны дараа ч локал хост татгалзвал үлдсэн сэжигтнүүд нь маршрут, алслагдсан талын зөвшөөрөгдсөн жагсаалт, давхардсан дэд сүлжээ, энэ дарааллаар.