ਕਿੱਲ ਸਵਿੱਚ ਜਾਂ LAN ਪਹੁੰਚ? WireGuard ਲਈ ਦੋ ਜਵਾਬ

ਹੈਂਡਸ਼ੇਕ ਪੂਰਾ ਹੁੰਦਾ ਹੈ, ਬ੍ਰਾਊਜ਼ਿੰਗ ਚੱਲਦੀ ਹੈ, ਅਤੇ ਪ੍ਰਿੰਟਰ, NAS ਤੇ ਸਥਾਨਕ SSH ਹੋਸਟ ਗਾਇਬ ਹੋ ਜਾਂਦੇ ਹਨ। Windows ਕਲਾਇੰਟ ਵਿੱਚ ਇਹ ਆਮ ਤੌਰ ’ਤੇ ਰਾਊਟਿੰਗ ਦੀ ਅਸਫਲਤਾ ਹੀ ਨਹੀਂ ਹੁੰਦੀ: ਜਿਸ ਪੀਅਰ ਦੇ ਮਨਜ਼ੂਰ ਪ੍ਰੀਫਿਕਸ ਵਿੱਚ ਸ਼ਬਦੀ ਡਿਫਾਲਟ ਹੁੰਦਾ ਹੈ, ਉਹ ਟਨਲ ਤੋਂ ਬਾਹਰਲਾ ਟ੍ਰੈਫਿਕ ਬਲਾਕ ਕਰੋ ਸਰਗਰਮ ਕਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਵਿਕਲਪ ਫਾਇਰਵਾਲ ਨਿਯਮਾਂ ਵਜੋਂ ਲਾਗੂ ਹੁੰਦਾ ਹੈ ਜੋ ਕਿਸੇ ਹੋਰ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਨਿਕਲਣ ਵਾਲੇ ਪੈਕਟ ਸੁੱਟ ਦਿੰਦੇ ਹਨ। ਰਾਊਟ ਟੇਬਲ ਸਥਾਨਕ ਸਬਨੈੱਟ ਨੂੰ ਅਜੇ ਵੀ ਸਿੱਧਾ ਲਿੰਕ ਦਿਖਾਉਂਦੀ ਹੈ, ਇਸੇ ਲਈ ਲੱਛਣ ਝੂਠ ਵਾਂਗ ਲੱਗਦਾ ਹੈ। ਇਸ ਬਾਰੇ ਕੀ ਕਰਨਾ ਹੈ ਇਹ ਤਿੰਨ ਸ਼ਰਤਾਂ ਤੈਅ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ ਰਾਊਟਿੰਗ ਬਾਰੇ ਹੈ।

ਦੋ ਅਸਫਲਤਾਵਾਂ ਇੱਕੋ ਲੱਛਣ ਧਾਰਦੀਆਂ ਹਨ

ਪਹਿਲੀ ਅਸਫਲਤਾ ਕਲਾਇੰਟ ਦਾ fail-closed ਮੋਡ ਹੈ, ਅਤੇ ਇਸ ਦੀ ਪਛਾਣ ਇਹ ਹੈ ਕਿ ਟਨਲ ਤੋਂ ਬਾਹਰ ਸਭ ਕੁਝ ਰੁਕ ਜਾਂਦਾ ਹੈ ਜਦਕਿ ਟਨਲ ਆਪ ਪੂਰੀ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਦਾ ਹੈ। ਦੂਜੀ ਅਸਲ ਪਹੁੰਚ ਦੀ ਸਮੱਸਿਆ ਹੈ: ਗੁੰਮ ਰਾਊਟ, ਕਲਾਇੰਟ ਪਿੱਛੇ ਦੇ ਸਬਨੈੱਟ ਲਈ ਸਰਵਰ ਉੱਤੇ ਗੁੰਮ ਐਂਟਰੀ, ਜਾਂ ਇੱਕੋ ਪਤਾ ਰੇਂਜ ਸਾਂਝੀ ਕਰਨ ਵਾਲੇ ਦੋ ਨੈੱਟਵਰਕ। ਦੋਵੇਂ ਅਜਿਹੀ ਮਸ਼ੀਨ ਦਿੰਦੇ ਹਨ ਜੋ ਬ੍ਰਾਊਜ਼ ਕਰ ਸਕਦੀ ਹੈ ਤੇ ਪ੍ਰਿੰਟ ਨਹੀਂ ਕਰ ਸਕਦੀ, ਅਤੇ ਉਨ੍ਹਾਂ ਦੇ ਹੱਲ ਉਲਟ ਹਨ, ਇਸ ਲਈ ਨਿਦਾਨ ਸੰਰਚਨਾ ਤੋਂ ਪਹਿਲਾਂ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ।

ਫ਼ਰਕ ਕਰਨ ਵਾਲਾ ਨਿਰੀਖਣ ਇਹ ਹੈ ਕਿ ਸਥਾਨਕ ਸਬਨੈੱਟ ਅਜੇ ਵੀ ਰਾਊਟ ਟੇਬਲ ਵਿੱਚ ਹੈ ਜਾਂ ਨਹੀਂ, ਜਦਕਿ ਉਸ ਵੱਲ ਦਾ ਟ੍ਰੈਫਿਕ ਸੁੱਟਿਆ ਜਾ ਰਿਹਾ ਹੈ।

ਤਿੰਨ ਸ਼ਰਤਾਂ ਜਵਾਬ ਤੈਅ ਕਰਦੀਆਂ ਹਨ

ਪਹਿਲਾ, ਕੀ ਇਸ ਮਸ਼ੀਨ ਨੂੰ fail-closed ਚਾਹੀਦਾ ਹੈ? ਜੇ ਜਵਾਬ ਹਾਂ ਹੈ, ਤਾਂ ਡਿੱਗਦੀ ਟਨਲ ਨੂੰ ਟ੍ਰੈਫਿਕ ਰੋਕਣਾ ਚਾਹੀਦਾ ਹੈ, ਉਸ ਨੂੰ ਭੌਤਿਕ ਇੰਟਰਫੇਸ ਉੱਤੇ ਵਾਪਸ ਜਾਣ ਦੇਣ ਦੀ ਥਾਂ, ਅਤੇ ਇਹ ਲੋੜ ਸਥਾਨਕ ਸੁਵਿਧਾ ਤੋਂ ਉੱਪਰ ਹੈ। ਦੂਜਾ, ਟਨਲ ਚਾਲੂ ਹੋਣ ਵੇਲੇ ਸਥਾਨਕ ਡਿਵਾਈਸ ਪਹੁੰਚਯੋਗ ਰਹਿਣੇ ਚਾਹੀਦੇ ਹਨ? ਪ੍ਰਿੰਟਿੰਗ, ਨੈੱਟਵਰਕ ਸਟੋਰੇਜ ਅਤੇ ਸਥਾਨਕ ਪ੍ਰਬੰਧਨ ਕੰਸੋਲ ਆਮ ਕਾਰਨ ਹਨ, ਅਤੇ ਇਹ ਜਾਇਜ਼ ਲੋੜਾਂ ਹਨ, ਮਾਫ਼ੀ ਮੰਗਣ ਵਾਲੇ ਅਪਵਾਦ ਨਹੀਂ। ਤੀਜਾ, ਕੀ ਪ੍ਰੋਫਾਈਲ ਡਿਫਾਲਟ ਨੂੰ ਸ਼ਬਦੀ 0.0.0.0/0 ਵਜੋਂ ਪ੍ਰਗਟ ਕਰਦਾ ਹੈ? ਇਹੀ ਵੇਰਵਾ ਕਲਾਇੰਟ ਦੇ ਨਿਯਮ ਸਰਗਰਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਸੋਧਣਯੋਗ ਹੈ।

ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਇਨ੍ਹਾਂ ਤਿੰਨਾਂ ਦਾ ਲਿਖਤੀ ਜਵਾਬ ਦਿਓ, ਕਿਉਂਕਿ ਹਰ ਜਵਾਬ ਵੱਖਰੀ ਸੰਰਚਨਾ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ।

fail-closed ਚੁਣੋ ਅਤੇ LAN ਛੱਡ ਦਿਓ

ਜੇ ਲੀਕ ਸਥਾਨਕ ਪਹੁੰਚ ਤੋਂ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਤਾਂ ਸ਼ਬਦੀ ਡਿਫਾਲਟ ਰੱਖੋ ਅਤੇ ਟਨਲ ਤੋਂ ਬਾਹਰਲਾ ਟ੍ਰੈਫਿਕ ਬਲਾਕ ਕਰੋ ਚਾਲੂ ਰੱਖੋ। ਇਹ ਸੁਸੰਗਤ ਰੁਖ ਹੈ: ਮਸ਼ੀਨ ਨੂੰ ਉਹ ਡਿਵਾਈਸ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਜੋ ਟਨਲ ਵਿੱਚ ਹੈ ਜਾਂ ਆਫ਼ਲਾਈਨ, ਅਤੇ ਸਥਾਨਕ ਸੇਵਾਵਾਂ ਤੱਕ ਕਿਸੇ ਹੋਰ ਡਿਵਾਈਸ ਤੋਂ ਜਾਂ ਟਨਲ ਰਾਹੀਂ ਪਹੁੰਚਿਆ ਜਾਂਦਾ ਹੈ ਜੇ ਸਰਵਰ ਉਨ੍ਹਾਂ ਨੂੰ ਰਾਊਟ ਕਰਦਾ ਹੈ। ਲਾਗਤ ਅਸਲੀ ਹੈ ਅਤੇ ਇਹ ਤੈਨਾਤੀ ਨੋਟਾਂ ਵਿੱਚ ਲਿਖਣੀ ਚਾਹੀਦੀ ਹੈ, ਨਾ ਕਿ ਪ੍ਰਿੰਟ ਕਰਨ ਵਾਲੇ ਵਿਅਕਤੀ ਨੂੰ ਖੁਦ ਪਤਾ ਲੱਗੇ।

ਟਨਲ ਡਿੱਗਣ ਵੇਲੇ ਕੈਫ਼ੇ ਦੇ ਨੈੱਟਵਰਕ ਉੱਤੇ ਨਾ ਦਿਸਣ ਵਾਲਾ ਕੰਮ ਕਰਨ ਵਾਲੀਆਂ ਮਸ਼ੀਨਾਂ ਲਈ ਇਹ ਸਹੀ ਚੋਣ ਹੈ। ਸਕੈਨਰ ਵੀ ਲੋੜੀਂਦਾ ਘਰੇਲੂ ਲੈਪਟਾਪ ਲਈ ਇਹ ਮਾੜਾ ਡਿਫਾਲਟ ਹੈ।

LAN ਪਹੁੰਚ ਚੁਣੋ ਅਤੇ ਡਿਫਾਲਟ ਹੋਰ ਢੰਗ ਨਾਲ ਪ੍ਰਗਟ ਕਰੋ

ਜੇ ਸਥਾਨਕ ਡਿਵਾਈਸ ਪਹੁੰਚਯੋਗ ਰਹਿਣੇ ਚਾਹੀਦੇ ਹਨ, ਤਾਂ ਸ਼ਬਦੀ ਡਿਫਾਲਟ ਪ੍ਰੀਫਿਕਸ ਤੋਂ ਬਿਨਾਂ ਉਹੀ ਕਵਰੇਜ ਪ੍ਰਗਟ ਕਰੋ। ਦੋ ਅੱਧੇ ਪ੍ਰੀਫਿਕਸ ਹਰ IPv4 ਪਤੇ ਨੂੰ ਢਕਦੇ ਹਨ, ਬਰਾਬਰ ਜੋੜੀ IPv6 ਨੂੰ ਢਕਦੀ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਹੁਣ ਬਲਾਕ ਕਰਨ ਵਾਲੇ ਨਿਯਮ ਨਹੀਂ ਪਾਉਂਦਾ ਕਿਉਂਕਿ ਉਹ ਜੋ ਸਤਰ ਲੱਭਦਾ ਹੈ ਉਹ ਨਹੀਂ ਹੈ।

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

ਉਹ ਚੈੱਕਬਾਕਸ ਹਟਾਉਣ ਨਾਲ ਕਲਾਇੰਟ ਉਹੀ ਦੋ ਜੋੜੀਆਂ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਲਿਖਦਾ ਹੈ, ਇਸ ਲਈ ਬਣਾਈ ਫਾਈਲ ਦੀ ਉੱਪਰਲੇ ਬਲਾਕ ਨਾਲ ਤੁਲਨਾ ਕਰਨਾ ਤੰਤਰ ਦਾ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਥਾਂ ਉਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਦਾ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ। ਇਸ ਤੋਂ ਦੋ ਨਤੀਜੇ ਨਿਕਲਦੇ ਹਨ। ਕਵਰੇਜ ਇੱਕੋ ਜਿਹੀ ਹੈ, ਇਸ ਲਈ ਟਨਲ ਵਿੱਚ ਹੋਰ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ। ਸੁਰੱਖਿਆ ਇੱਕੋ ਜਿਹੀ ਨਹੀਂ: ਨਿਯਮ ਹਟਣ ’ਤੇ, ਡਿੱਗਦੀ ਟਨਲ ਮਸ਼ੀਨ ਨੂੰ ਉਸ ਦੇ ਭੌਤਿਕ ਇੰਟਰਫੇਸ ਉੱਤੇ ਛੱਡ ਦਿੰਦੀ ਹੈ, ਅਤੇ fail-closed ਠੀਕ ਇਹੀ ਰੋਕ ਰਿਹਾ ਸੀ।

ਬਾਕੀ ਦੋ ਸ਼ੱਕੀ ਵੀ ਜਾਂਚੋ

ਫਾਇਰਵਾਲ ਦਾ ਸਵਾਲ ਨਿਬਟਣ ਤੋਂ ਬਾਅਦ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸਥਾਨਕ ਸਬਨੈੱਟ ਸੱਚਮੁੱਚ ਰਾਊਟ ਹੋ ਰਿਹਾ ਹੈ ਅਤੇ ਦੂਰਲੇ ਸਿਰੇ ਨੂੰ ਇਸ ਕਲਾਇੰਟ ਪਿੱਛੇ ਦੀ ਹਰ ਚੀਜ਼ ਦਾ ਪਤਾ ਹੈ। ਜਿਸ ਸਰਵਰ ਨੂੰ ਕਲਾਇੰਟ ਪਿੱਛੇ ਦੇ LAN ਤੱਕ ਪਹੁੰਚਣਾ ਹੈ, ਉਸ ਨੂੰ ਹਬ ਉੱਤੇ ਕਲਾਇੰਟ ਦੀ ਮਨਜ਼ੂਰ ਸੂਚੀ ਵਿੱਚ ਉਹ ਪ੍ਰੀਫਿਕਸ ਚਾਹੀਦਾ ਹੈ; ਇਹ ਛੱਡ ਦਿਓ ਤਾਂ ਹਬ ਉਨ੍ਹਾਂ ਪਤਿਆਂ ਲਈ ਪੀਅਰ ਨਹੀਂ ਚੁਣ ਸਕਦਾ, ਅਤੇ ਕੋਈ ਵੀ ਕਲਾਇੰਟ ਸੰਰਚਨਾ ਇਹ ਨਹੀਂ ਬਣਾਉਂਦੀ।

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

ਨੈੱਟਵਰਕ ਸ਼੍ਰੇਣੀ ਲੋਕਾਂ ਦੀ ਸੋਚ ਨਾਲੋਂ ਵੱਧ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਨਵਾਂ ਬਣਿਆ ਟਨਲ ਅਡਾਪਟਰ ਜੇ ਜਨਤਕ ਵਜੋਂ ਸ਼੍ਰੇਣੀਬੱਧ ਹੋ ਜਾਵੇ ਤਾਂ ਉਸ ਉੱਤੇ ਕਿਹੜੇ ਨਿਯਮ ਲਾਗੂ ਹੁੰਦੇ ਹਨ ਇਹ ਬਦਲ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਨਤੀਜਾ ਦੂਰਲੇ ਸਿਰੇ ਉੱਤੇ ਫਾਇਰਵਾਲ ਬਲਾਕ ਵਾਂਗ ਦਿਸ ਸਕਦਾ ਹੈ। ਰਾਊਟ ਪ੍ਰਿੰਟ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਡਿਫਾਲਟ ਹੈ ਵੀ ਜਾਂ ਨਹੀਂ, ਜੋ ਨੀਤੀ ਦੀ ਸਮੱਸਿਆ ਨੂੰ ਗੁੰਮ ਰਾਊਟ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ।

ਫਿਰ ਇੱਕੋ ਬੈਠਕ ਵਿੱਚ ਤਿੰਨ ਚੀਜ਼ਾਂ ਜਾਂਚੋ: ਇੰਟਰਨੈੱਟ, ਪਤੇ ਰਾਹੀਂ ਇੱਕ ਸਥਾਨਕ ਹੋਸਟ, ਅਤੇ ਟਨਲ ਰਾਹੀਂ ਇੱਕ ਹੋਸਟ। ਹੈਂਡਸ਼ੇਕ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਚਾਬੀਆਂ ਮਿਲਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਤਿੰਨੇ ਜਾਂਚਾਂ ਹੀ ਨੀਤੀ ਦਿਖਾਉਂਦੀਆਂ ਹਨ। ਵਿਕਲਪ ਹਟਾਉਣ ਤੋਂ ਬਾਅਦ ਵੀ ਸਥਾਨਕ ਹੋਸਟ ਇਨਕਾਰ ਕਰੇ ਤਾਂ ਬਾਕੀ ਸ਼ੱਕੀ ਰਾਊਟ, ਦੂਰਲੇ ਸਿਰੇ ਦੀ ਮਨਜ਼ੂਰ ਸੂਚੀ ਅਤੇ ਦੁਹਰਿਆ ਸਬਨੈੱਟ ਹਨ, ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ।