किल स्विच की LAN प्रवेश? WireGuard साठी दोन उत्तरे

हँडशेक पूर्ण होतो, ब्राउझिंग चालते, आणि प्रिंटर, NAS व स्थानिक SSH होस्ट अदृश्य होतात. Windows क्लायंटमध्ये हे सहसा राउटिंगचे अपयशच नसते: ज्या पीअरच्या अनुमत प्रीफिक्समध्ये शब्दशः डीफॉल्ट असतो तो टनेलबाहेरची रहदारी अडवा सक्रिय करतो, आणि तो पर्याय इतर कोणत्याही इंटरफेसने बाहेर पडणारी पॅकेट टाकून देणारे फायरवॉल नियम म्हणून अंमलात येतो. राउट टेबल स्थानिक सबनेटला अजूनही थेट दुवा म्हणून दाखवते, म्हणूनच लक्षण खोटे वाटते. याबद्दल काय करायचे हे तीन अटी ठरवतात, आणि त्यापैकी फक्त एकच राउटिंगबद्दल आहे.

दोन अपयशे एकच लक्षण धारण करतात

पहिले अपयश क्लायंटची fail-closed पद्धत आहे, आणि तिची खूण म्हणजे टनेलबाहेर सर्व थांबते पण टनेल स्वतः निर्दोष चालते. दुसरे खरे पोहोचण्याचे समस्या आहे: गहाळ राउट, क्लायंटच्या मागील सबनेटसाठी सर्व्हरवरील गहाळ नोंद, किंवा एकच पत्ता श्रेणी सामायिक करणारे दोन नेटवर्क. दोन्ही ब्राउझ करता येणारे आणि प्रिंट करता न येणारे यंत्र देतात, आणि त्यांचे उपाय विरुद्ध आहेत, म्हणून निदान संरचनेपूर्वी आले पाहिजे.

भेद करणारे निरीक्षण म्हणजे स्थानिक सबनेट अजूनही राउट टेबलमध्ये आहे का, त्याकडील रहदारी टाकून दिली जात असताना.

तीन अटी उत्तर ठरवतात

प्रथम, या यंत्राला fail-closed हवे का? उत्तर होय असल्यास, पडणाऱ्या टनेलने रहदारी थांबवली पाहिजे, तिला भौतिक इंटरफेसवर परत जाऊ देण्याऐवजी, आणि ही आवश्यकता स्थानिक सोयीपेक्षा महत्त्वाची आहे. दुसरे, टनेल चालू असताना स्थानिक उपकरणे पोहोचण्यायोग्य राहिली पाहिजेत का? प्रिंटिंग, नेटवर्क स्टोरेज आणि स्थानिक व्यवस्थापन कन्सोल ही नेहमीची कारणे आहेत, आणि ही वैध आवश्यकता आहेत, माफी मागावी लागणारे अपवाद नव्हेत. तिसरे, प्रोफाइल डीफॉल्टला शब्दशः 0.0.0.0/0 म्हणून व्यक्त करते का? हाच तपशील क्लायंटचे नियम सक्रिय करतो, आणि तो संपादनयोग्य आहे.

प्रोफाइलला हात लावण्यापूर्वी या तिन्हींना लिखित उत्तर द्या, कारण प्रत्येक उत्तर वेगळ्या संरचनेकडे निर्देश करते.

fail-closed निवडा आणि LAN सोडा

गळती स्थानिक पोहोचण्यापेक्षा महत्त्वाची असल्यास, शब्दशः डीफॉल्ट ठेवा आणि टनेलबाहेरची रहदारी अडवा सुरू ठेवा. ही सुसंगत भूमिका आहे: यंत्राला टनेलमध्ये किंवा ऑफलाइन असलेले उपकरण मानले जाते, आणि स्थानिक सेवांपर्यंत दुसऱ्या उपकरणातून किंवा सर्व्हरने त्यांचे राउटिंग केल्यास टनेलमधून पोहोचले जाते. खर्च खरा आहे आणि तो तैनाती नोंदींमध्ये नमूद केला पाहिजे, प्रिंट करायचे असलेल्या व्यक्तीने तो शोधण्याऐवजी.

टनेल पडल्यावर कॅफेच्या नेटवर्कवर दिसू नये असे काम करणाऱ्या यंत्रांसाठी ही योग्य निवड आहे. स्कॅनरही हवा असलेल्या घरातील लॅपटॉपसाठी हे वाईट डीफॉल्ट आहे.

LAN प्रवेश निवडा आणि डीफॉल्ट वेगळ्या पद्धतीने व्यक्त करा

स्थानिक उपकरणे पोहोचण्यायोग्य राहिली पाहिजेत असल्यास, शब्दशः डीफॉल्ट प्रीफिक्सशिवाय तीच व्याप्ती व्यक्त करा. दोन अर्धे प्रीफिक्स प्रत्येक IPv4 पत्ता व्यापतात, समतुल्य जोडी IPv6 व्यापते, आणि क्लायंट आता अडवणारे नियम घालत नाही कारण तो शोधत असलेली मालिका नाही.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

ती खूण काढल्यास क्लायंट त्या दोनच जोड्या प्रोफाइलमध्ये लिहितो, म्हणून तयार केलेल्या फाइलची वरील ब्लॉकशी तुलना करणे हे यंत्रणा अंदाजण्याऐवजी ती पुष्टी करण्याचा जलद मार्ग आहे. त्यातून दोन परिणाम येतात. व्याप्ती सारखीच आहे, म्हणून टनेलमध्ये दुसरे काहीही बदलत नाही. संरक्षण सारखे नाही: नियम गेल्यावर, पडणारे टनेल यंत्राला त्याच्या भौतिक इंटरफेसवर ठेवते, आणि fail-closed नेमके तेच प्रतिबंधित करत होते.

उर्वरित दोन संशयित तपासाच

फायरवॉलचा प्रश्न निकाली निघाल्यावर, स्थानिक सबनेट खरोखर राउट होत आहे आणि दूरच्या टोकाला या क्लायंटच्या मागील सर्व माहीत आहे याची पुष्टी करा. क्लायंटच्या मागील LAN पर्यंत पोहोचायचे असलेल्या सर्व्हरला हबवर क्लायंटच्या अनुमत यादीत तो प्रीफिक्स हवा; तो वगळल्यास हब त्या पत्त्यांसाठी पीअर निवडू शकत नाही, आणि कितीही क्लायंट संरचना तो तयार करत नाही.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

नेटवर्क श्रेणी लोक अपेक्षा करतात त्यापेक्षा महत्त्वाची आहे: नव्याने तयार झालेला टनेल अडॅप्टर सार्वजनिक म्हणून वर्गीकृत झाल्यास त्यावर कोणते नियम लागू होतात ते बदलते, आणि निकाल दूरच्या टोकाला फायरवॉल अडवण्यासारखा दिसू शकतो. राउट प्रिंट डीफॉल्ट अजिबात आहे का हे दाखवते, जे धोरणाच्या समस्येला गहाळ राउटपासून वेगळे करते.

मग एका बैठकीत तीन गोष्टी तपासा: इंटरनेट, पत्त्यानुसार एक स्थानिक होस्ट, आणि टनेलमधून एक होस्ट. हँडशेक फक्त किल्ल्या जुळतात हे सिद्ध करतो, म्हणून तीनही चाचण्याच धोरण दाखवतात. पर्याय काढल्यावरही स्थानिक होस्ट नकार देत असेल, तर उर्वरित संशयित राउट, दूरच्या टोकाची अनुमत यादी आणि दुहेरी सबनेट आहेत, त्या क्रमाने.