Noodschakelaar of LAN-toegang? Twee antwoorden voor WireGuard

De handshake komt tot stand, browsen werkt, en de printer, de NAS en de lokale SSH-hosts verdwijnen. Op de Windows-client is dit meestal helemaal geen routeringsfout: een peer waarvan de toegestane prefixen de letterlijke standaardwaarde bevatten, activeert Blokkeer verkeer buiten de tunnel, en die optie is geïmplementeerd als firewallregels die pakketten laten vallen die via een andere interface naar buiten gaan. De routetabel vermeldt het lokale subnet nog steeds als directe verbinding, waardoor het symptoom als een leugen aanvoelt. Drie voorwaarden bepalen wat eraan te doen is, en slechts één daarvan gaat over routering.

Twee fouten dragen hetzelfde symptoom

De eerste fout is de fail-closed-modus van de client, en het kenmerk is dat alles buiten de tunnel stopt terwijl de tunnel zelf perfect werkt. De tweede is een echt bereikbaarheidsprobleem: een ontbrekende route, een ontbrekende vermelding op de server voor een subnet achter de client, of twee netwerken met dezelfde adresreeks. Beide leveren een machine op die kan browsen en niet kan printen, en hun oplossingen zijn tegengesteld, dus de diagnose moet vóór de configuratie komen.

De beslissende observatie is of het lokale subnet nog in de routetabel staat terwijl verkeer ernaartoe wordt weggegooid.

Drie voorwaarden bepalen het antwoord

Ten eerste, heeft deze machine fail-closed nodig? Als het antwoord ja is, moet een wegvallende tunnel het verkeer stoppen in plaats van het terug te laten vallen op de fysieke interface, en die eis weegt zwaarder dan lokaal gemak. Ten tweede, moeten lokale apparaten bereikbaar blijven zolang de tunnel actief is? Printen, netwerkopslag en lokale beheerconsoles zijn de gebruikelijke redenen, en dat zijn legitieme eisen, geen uitzonderingen waar excuses voor nodig zijn. Ten derde, drukt het profiel de standaardwaarde uit als een letterlijke 0.0.0.0/0? Juist dat detail activeert de regels van de client, en het is bewerkbaar.

Beantwoord die drie schriftelijk voordat u een profiel aanraakt, want elk antwoord wijst op een andere configuratie.

Kies fail-closed en geef de LAN op

Als lekkage belangrijker is dan lokale bereikbaarheid, behoud dan de letterlijke standaardwaarde en laat Blokkeer verkeer buiten de tunnel aan staan. Dat is een samenhangend standpunt: de machine wordt behandeld als een apparaat dat ofwel in de tunnel zit ofwel offline is, en lokale diensten worden vanaf een ander apparaat of via de tunnel bereikt als de server ze routeert. De prijs is reëel en hoort in de uitrolnotities te staan, in plaats van ontdekt te worden door degene die moet printen.

Dit is de juiste keuze voor machines die werk doen dat niet op een cafénetwerk mag verschijnen wanneer de tunnel wegvalt. Het is een slechte standaardwaarde voor een thuis-laptop die ook de scanner nodig heeft.

Kies LAN-toegang en druk de standaardwaarde anders uit

Als lokale apparaten bereikbaar moeten blijven, druk dan dezelfde dekking uit zonder het letterlijke standaardprefix. Twee halve prefixen dekken elk IPv4-adres, het equivalente paar dekt IPv6, en de client voegt de blokkerende regels niet meer toe omdat de tekenreeks die hij zoekt ontbreekt.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Het uitvinken van dat vakje zorgt ervoor dat de client dezelfde twee paren in het profiel schrijft, dus het gegenereerde bestand vergelijken met het blok hierboven is een snelle manier om het mechanisme te bevestigen in plaats van ernaar te raden. Twee gevolgen volgen. De dekking is identiek, dus verder verandert er niets aan de tunnel. De bescherming is niet identiek: zonder de regels laat een wegvallende tunnel de machine zijn fysieke interface gebruiken, en dat is precies wat fail-closed voorkwam.

Controleer de andere twee verdachten hoe dan ook

Zodra de firewallvraag is beslecht, bevestig dat het lokale subnet daadwerkelijk wordt gerouteerd en dat de andere kant weet van alles achter deze client. Een server die een LAN achter een client moet bereiken, heeft dat prefix nodig in de toegestane lijst van de client op de hub; laat u het weg, dan kan de hub geen peer voor die adressen kiezen, en geen enkele clientconfiguratie maakt er een.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

De netwerkcategorie maakt meer uit dan mensen verwachten: een nieuw aangemaakte tunneladapter die als openbaar wordt geclassificeerd, verandert welke regels erop van toepassing zijn, en het resultaat kan eruitzien als een firewallblokkade aan de andere kant. De route-uitvoer laat zien of er überhaupt een standaardwaarde is, wat een beleidsprobleem scheidt van een ontbrekende route.

Test dan drie dingen in één sessie: het internet, één lokale host op adres, en één host via de tunnel. De handshake bewijst alleen dat de sleutels overeenkomen, dus de drie tests zijn wat het beleid aantoont. Als de lokale host blijft weigeren met de optie uitgevinkt, zijn de resterende verdachten de route, de toegestane lijst van de andere kant en het dubbele subnet, in die volgorde.