Naudstopp eller LAN-tilgang? To svar for WireGuard

Handtrykket blir fullført, nettlesing fungerer, og skrivaren, NAS-en og dei lokale SSH-vertane forsvinn. På Windows-klienten er dette vanlegvis ikkje ein rutefeil i det heile: ein peer der dei tillatne prefiksa inneheld den bokstavelege standardverdien aktiverer Blokker trafikk utanfor tunnelen, og det valet er implementert som brannmurreglar som slepp gjennom pakkar som går ut via eit kva som helst anna grensesnitt. Rutetabellen viser framleis det lokale subnettet som direkte tilkopling, og difor kjennest symptomet som ei løgn. Tre vilkår avgjer kva som bør gjerast, og berre eitt av dei handlar om ruting.

To feil ber same symptomet

Den første feilen er fail-closed-modusen til klienten, og kjenneteiknet er at alt utanfor tunnelen stoggar medan sjølve tunnelen fungerer perfekt. Den andre er eit reelt tilgjengelegheitsproblem: ei manglande rute, ein manglande oppføring på tenaren for eit subnett bak klienten, eller to nettverk med same adresseområde. Begge gir ein maskin som kan bla og ikkje kan skrive ut, og rettingane deira er motsette, så diagnosen må kome før konfigurasjonen.

Den avgjerande observasjonen er om det lokale subnettet framleis finst i rutetabellen medan trafikk dit blir kasta.

Tre vilkår avgjer svaret

For det første, treng denne maskinen fail-closed? Viss svaret er ja, må ein tunnel som fell stoppe trafikken i staden for å la han falle tilbake på det fysiske grensesnittet, og det kravet veg tyngre enn lokal komfort. For det andre, må lokale einingar halde fram med å vere tilgjengelege medan tunnelen er oppe? Utskrift, nettverkslagring og lokale administrasjonskonsollar er dei vanlege grunnane, og dei er legitime krav, ikkje unntak ein skal be om orsaking for. For det tredje, uttrykkjer profilen standardverdien som eit bokstaveleg 0.0.0.0/0? Nettopp den detaljen utløyser reglane til klienten, og han kan redigerast.

Svar på dei tre skriftleg før du rører ein profil, fordi kvart svar peikar på ein annan konfigurasjon.

Vel fail-closed og gje opp LAN

Viss lekkasje tyder meir enn lokal tilgjengelegheit, hald på den bokstavelege standardverdien og la Blokker trafikk utanfor tunnelen stå på. Det er ei samanhengande haldning: maskinen blir handsama som ei eining som anten er inne i tunnelen eller fråkopla, og lokale tenester blir nådde frå ei anna eining eller gjennom tunnelen viss tenaren rutar dei. Kostnaden er reell og bør stå i driftsnotata i staden for å bli oppdaga av personen som må skrive ut.

Dette er det rette valet for maskinar som gjer arbeid som ikkje skal dukke opp på eit kafénettverk når tunnelen fell. Det er ein dårleg standardverdi for ein heimelaptop som også treng skannaren.

Vel LAN-tilgang og uttrykk standardverdien annleis

Viss lokale einingar må halde fram med å vere tilgjengelege, uttrykk same dekninga utan det bokstavelege standardprefikset. To halvprefiks dekkjer kvar IPv4-adresse, det tilsvarande paret dekkjer IPv6, og klienten set ikkje lenger inn dei blokkerande reglane fordi strengen han leitar etter manglar.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Å fjerne den avkryssinga får klienten til å skrive dei same to para inn i profilen, så å samanlikne den genererte fila med blokka ovanfor er ein rask måte å stadfeste mekanismen på i staden for å gisse på han. To konsekvensar følgjer. Dekninga er identisk, så ingenting anna ved tunnelen blir endra. Vernet er ikkje identisk: når reglane er borte, lèt ein tunnel som fell maskinen bruke det fysiske grensesnittet sitt, og det var nettopp det fail-closed hindra.

Sjekk dei to andre mistenkte uansett

Når brannmurspørsmålet er avklart, stadfest at det lokale subnettet faktisk blir ruta og at den andre enden veit om alt bak denne klienten. Ein tenar som må nå eit LAN bak ein klient treng det prefikset i den tillatne lista til klienten på huben; utelèt du det, kan huben ikkje velje ein peer for desse adressene, og ingen klientkonfigurasjon lagar ein.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Nettverkskategorien tyder meir enn folk ventar: ein nyoppretta tunneladapter som blir klassifisert som offentleg endrar kva reglar som gjeld for han, og resultatet kan sjå ut som ein brannmurstenging i den andre enden. Rutetutskrifta viser om det i det heile finst ein standardverdi, noko som skil eit policyproblem frå ei manglande rute.

Test så tre ting i éi økt: internettet, éin lokal vert etter adresse og éin vert gjennom tunnelen. Handtrykket beviser berre at nøklane stemmer, så det er dei tre testane som viser policyen. Viss den lokale verten framleis nektar med valet fjerna, er dei gjenverande mistenkte ruta, den tillatne lista i den andre enden og det doble subnettet, i den rekkjefølgja.