Suis Mati atau Akses LAN? Dua Jawapan untuk WireGuard

Jabat tangan selesai, pelayaran berfungsi, dan pencetak, NAS serta hos SSH setempat hilang. Pada klien Windows ini biasanya bukan kegagalan penghalaan sama sekali: rakan sebaya yang prefiks dibenarkannya mengandungi lalai literal mengaktifkan Sekat trafik di luar terowong, dan pilihan itu dilaksanakan sebagai peraturan tembok api yang membuang paket yang keluar melalui mana-mana antara muka lain. Jadual laluan masih menyenaraikan subnet setempat sebagai pautan terus, sebab itulah simptom terasa seperti dusta. Tiga syarat menentukan apa yang perlu dibuat, dan hanya satu daripadanya berkaitan penghalaan.

Dua kegagalan memakai simptom yang sama

Kegagalan pertama ialah mod fail-closed klien, dan tandanya ialah segala-galanya di luar terowong berhenti sedangkan terowong itu sendiri berfungsi dengan sempurna. Yang kedua ialah masalah kebolehcapaian sebenar: laluan yang hilang, entri yang hilang pada pelayan untuk subnet di belakang klien, atau dua rangkaian yang berkongsi julat alamat yang sama. Kedua-duanya menghasilkan mesin yang boleh melayar dan tidak boleh mencetak, dan pembetulannya bertentangan, jadi diagnosis mesti datang sebelum konfigurasi.

Pemerhatian yang membezakan ialah sama ada subnet setempat masih ada dalam jadual laluan sedangkan trafik ke arahnya dibuang.

Tiga syarat menentukan jawapannya

Pertama, adakah mesin ini memerlukan fail-closed? Jika jawapannya ya, terowong yang jatuh mesti menghentikan trafik dan bukannya membiarkannya kembali ke antara muka fizikal, dan keperluan itu mengatasi kemudahan setempat. Kedua, adakah peranti setempat mesti kekal boleh dicapai semasa terowong naik? Pencetakan, storan rangkaian dan konsol pengurusan setempat ialah sebab biasa, dan ia keperluan sah, bukan pengecualian yang perlu diminta maaf. Ketiga, adakah profil menyatakan lalai sebagai 0.0.0.0/0 literal? Butiran itulah yang mencetuskan peraturan klien, dan ia boleh diedit.

Jawab ketiga-tiganya secara bertulis sebelum menyentuh profil, kerana setiap jawapan menunjuk kepada konfigurasi yang berbeza.

Pilih fail-closed dan lepaskan LAN

Jika kebocoran lebih penting daripada kebolehcapaian setempat, kekalkan lalai literal dan biarkan Sekat trafik di luar terowong dihidupkan. Itu pendirian yang koheren: mesin dianggap sebagai peranti yang sama ada di dalam terowong atau luar talian, dan perkhidmatan setempat dicapai dari peranti lain atau melalui terowong jika pelayan menghalakannya. Kosnya nyata dan patut dinyatakan dalam nota penggunaan, bukan ditemui oleh orang yang perlu mencetak.

Ini pilihan yang betul untuk mesin yang mengendalikan kerja yang tidak boleh muncul pada rangkaian kafe apabila terowong jatuh. Ini lalai yang buruk untuk komputer riba rumah yang juga memerlukan pengimbas.

Pilih akses LAN dan nyatakan lalai dengan cara lain

Jika peranti setempat mesti kekal boleh dicapai, nyatakan liputan yang sama tanpa awalan lalai literal. Dua awalan separuh meliputi setiap alamat IPv4, pasangan setara meliputi IPv6, dan klien tidak lagi memasukkan peraturan penyekatan kerana rentetan yang dicarinya tiada.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Menyahtanda kotak itu menyebabkan klien menulis dua pasangan yang sama ke dalam profil, jadi membandingkan fail yang dijana dengan blok di atas ialah cara cepat untuk mengesahkan mekanisme itu dan bukannya menekanya. Dua akibat menyusul. Liputan adalah sama, jadi tiada apa-apa lagi pada terowong berubah. Perlindungan tidak sama: apabila peraturan tiada, terowong yang jatuh membiarkan mesin menggunakan antara muka fizikalnya, dan itulah tepat yang dihalang oleh fail-closed.

Periksa dua suspek lain juga

Setelah persoalan tembok api selesai, sahkan bahawa subnet setempat benar-benar dihalakan dan bahawa hujung jauh mengetahui segala-galanya di belakang klien ini. Pelayan yang mesti mencapai LAN di belakang klien memerlukan prefiks itu dalam senarai dibenarkan klien pada hab; tinggalkannya dan hab tidak boleh memilih rakan sebaya untuk alamat tersebut, dan tiada konfigurasi klien yang menciptanya.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategori rangkaian lebih penting daripada yang orang sangka: penyesuai terowong yang baru dicipta dan dikelaskan sebagai awam mengubah peraturan yang terpakai padanya, dan hasilnya boleh kelihatan seperti sekatan tembok api di hujung jauh. Cetakan laluan menunjukkan sama ada lalai wujud sama sekali, yang memisahkan masalah dasar daripada laluan yang hilang.

Kemudian uji tiga perkara dalam satu sesi: internet, satu hos setempat mengikut alamat, dan satu hos merentas terowong. Jabat tangan hanya membuktikan kunci sepadan, jadi ketiga-tiga ujian itulah yang menunjukkan dasar. Jika hos setempat masih menolak dengan pilihan dikosongkan, suspek yang tinggal ialah laluan, senarai dibenarkan hujung jauh dan subnet berganda, dalam susunan itu.