किल स्विच कि LAN पहुँच? WireGuard का लागि दुई उत्तर

ह्यान्डसेक पूरा हुन्छ, ब्राउजिङ चल्छ, र प्रिन्टर, NAS तथा स्थानीय SSH होस्टहरू हराउँछन्। Windows क्लाइन्टमा यो सामान्यतया राउटिङकै विफलता हुँदैन: जसको अनुमत प्रिफिक्समा शाब्दिक पूर्वनिर्धारित हुन्छ त्यस्तो पियरले सुरुङबाहिरको ट्राफिक ब्लक गर्नु सक्रिय गर्छ, र त्यो विकल्प अरू कुनै इन्टरफेसबाट बाहिर जाने प्याकेट फाल्ने फायरवाल नियमका रूपमा लागू हुन्छ। रुट तालिकाले स्थानीय सबनेटलाई अझै सिधा लिंक देखाउँछ, त्यसैले लक्षण झुटो जस्तो लाग्छ। यसबारे के गर्ने भन्ने तीन सर्तले निर्धारण गर्छ, र तीमध्ये एउटा मात्र राउटिङसँग सम्बन्धित छ।

दुई विफलताले एउटै लक्षण बोक्छन्

पहिलो विफलता क्लाइन्टको fail-closed मोड हो, र यसको पहिचान सुरुङबाहिरको सबै कुरा रोकिनु हो जबकि सुरुङ आफैँ निर्दोष चल्छ। दोस्रो साँच्चै पुग्ने समस्या हो: हराएको रुट, क्लाइन्टपछाडिको सबनेटका लागि सर्भरमा हराएको प्रविष्टि, वा एउटै ठेगाना दायरा साझा गर्ने दुई नेटवर्क। दुवैले ब्राउज गर्न सक्ने तर प्रिन्ट गर्न नसक्ने मेसिन दिन्छन्, र तिनका उपाय विपरीत छन्, त्यसैले निदान कन्फिगरेसनभन्दा पहिले आउनुपर्छ।

छुट्याउने अवलोकन यो हो कि स्थानीय सबनेट अझै रुट तालिकामा छ कि छैन, जब त्यसतर्फको ट्राफिक फालिँदै छ।

तीन सर्तले उत्तर निर्धारण गर्छन्

पहिलो, के यो मेसिनलाई fail-closed चाहिन्छ? उत्तर हो भने, खस्ने सुरुङले ट्राफिक रोक्नुपर्छ, त्यसलाई भौतिक इन्टरफेसमा फर्किन दिनुको सट्टा, र त्यो आवश्यकता स्थानीय सुविधाभन्दा माथि छ। दोस्रो, सुरुङ चालु हुँदा स्थानीय उपकरणहरू पुग्नयोग्य रहनुपर्छ? प्रिन्टिङ, नेटवर्क भण्डारण र स्थानीय व्यवस्थापन कन्सोल सामान्य कारण हुन्, र यी वैध आवश्यकता हुन्, क्षमा माग्नुपर्ने अपवाद होइनन्। तेस्रो, प्रोफाइलले पूर्वनिर्धारितलाई शाब्दिक 0.0.0.0/0 का रूपमा व्यक्त गर्छ? यही विवरणले क्लाइन्टका नियम सक्रिय गर्छ, र यो सम्पादनयोग्य छ।

प्रोफाइल छुनुअघि यी तीनैको लिखित उत्तर दिनुहोस्, किनकि हरेक उत्तर फरक कन्फिगरेसनतर्फ संकेत गर्छ।

fail-closed छान्नुहोस् र LAN त्याग्नुहोस्

चुहावट स्थानीय पहुँचभन्दा महत्त्वपूर्ण भए, शाब्दिक पूर्वनिर्धारित राख्नुहोस् र सुरुङबाहिरको ट्राफिक ब्लक गर्नु खुला राख्नुहोस्। यो सुसंगत धारणा हो: मेसिनलाई सुरुङभित्र वा अफलाइन हुने उपकरणका रूपमा लिइन्छ, र स्थानीय सेवाहरूमा अर्को उपकरणबाट वा सर्भरले राउट गरे सुरुङबाट पुगिन्छ। लागत वास्तविक छ र त्यो परिनियोजन टिप्पणीमा उल्लेख गर्नुपर्छ, प्रिन्ट गर्नुपर्ने व्यक्तिले आफैँ पत्ता लगाउनुको सट्टा।

सुरुङ खस्दा क्याफेको नेटवर्कमा देखिनु नहुने काम गर्ने मेसिनका लागि यो सही छनोट हो। स्क्यानर पनि चाहिने घरायसी ल्यापटपका लागि यो खराब पूर्वनिर्धारित हो।

LAN पहुँच छान्नुहोस् र पूर्वनिर्धारित अर्कै तरिकाले व्यक्त गर्नुहोस्

स्थानीय उपकरणहरू पुग्नयोग्य रहनुपर्ने भए, शाब्दिक पूर्वनिर्धारित प्रिफिक्सबिना त्यही व्याप्ति व्यक्त गर्नुहोस्। दुई आधा प्रिफिक्सले हरेक IPv4 ठेगाना ढाक्छन्, समान जोडीले IPv6 ढाक्छ, र क्लाइन्टले अब ब्लक गर्ने नियम हाल्दैन किनकि उसले खोज्ने स्ट्रिङ छैन।

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

त्यो चेकबक्स हटाउँदा क्लाइन्टले तीही दुई जोडी प्रोफाइलमा लेख्छ, त्यसैले बनाइएको फाइललाई माथिको ब्लकसँग तुलना गर्नु भनेको कार्यविधि अनुमान गर्नुको सट्टा पुष्टि गर्ने छिटो बाटो हो। यसबाट दुई परिणाम आउँछन्। व्याप्ति उही हो, त्यसैले सुरुङमा अरू केही बदलिँदैन। सुरक्षा उही होइन: नियम गएपछि, खस्ने सुरुङले मेसिनलाई उसको भौतिक इन्टरफेसमा छोड्छ, र fail-closed ले ठ्याक्कै त्यही रोकिरहेको थियो।

बाँकी दुई शंकास्पद पनि जाँच्नुहोस्

फायरवालको प्रश्न टुंगिएपछि, स्थानीय सबनेट साँच्चै राउट भइरहेको छ र टाढाको छेउलाई यो क्लाइन्टपछाडिको सबै थाहा छ भनी पुष्टि गर्नुहोस्। क्लाइन्टपछाडिको LAN सम्म पुग्नुपर्ने सर्भरलाई हबमा क्लाइन्टको अनुमत सूचीमा त्यो प्रिफिक्स चाहिन्छ; छोडिदिनुभयो भने हबले ती ठेगानाका लागि पियर छान्न सक्दैन, र कुनै पनि क्लाइन्ट कन्फिगरेसनले त्यो बनाउँदैन।

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

नेटवर्क कोटी मानिसले सोचेभन्दा बढी महत्त्वपूर्ण छ: नयाँ बनेको सुरुङ एडाप्टर सार्वजनिक का रूपमा वर्गीकृत भए त्यसमा कुन नियम लागू हुन्छन् भन्ने बदलिन्छ, र नतिजा टाढाको छेउमा फायरवाल अवरोध जस्तो देखिन सक्छ। रुट प्रिन्टले पूर्वनिर्धारित नै छ कि छैन देखाउँछ, जसले नीतिको समस्यालाई हराएको रुटबाट अलग गर्छ।

त्यसपछि एउटै बैठकमा तीन कुरा परीक्षण गर्नुहोस्: इन्टरनेट, ठेगानाअनुसार एउटा स्थानीय होस्ट, र सुरुङबाट एउटा होस्ट। ह्यान्डसेकले कुञ्जी मिल्छन् भन्ने मात्र प्रमाणित गर्छ, त्यसैले तीनै परीक्षणले नीति देखाउँछन्। विकल्प हटाएपछि पनि स्थानीय होस्टले अस्वीकार गरे, बाँकी शंकास्पद रुट, टाढाको छेउको अनुमत सूची र दोहोरिएको सबनेट हुन्, त्यही क्रममा।