Núdzové odpojenie alebo prístup do LAN? Dve odpovede pre WireGuard

Handshake sa dokončí, prehliadanie funguje, a tlačiareň, NAS a miestni SSH hostitelia zmiznú. V klientovi pre Windows to zvyčajne vôbec nie je porucha smerovania: peer, ktorého povolené prefixy obsahujú doslovné predvolené nastavenie, aktivuje Blokovať prevádzku mimo tunela, a táto voľba je implementovaná ako pravidlá firewallu, ktoré zahadzujú pakety odchádzajúce cez akékoľvek iné rozhranie. Smerovacia tabuľka stále uvádza miestnu podsieť ako priame spojenie, a preto symptóm pôsobí ako lož. Rozhodujú o tom tri podmienky a iba jedna z nich sa týka smerovania.

Dve poruchy nesú rovnaký symptóm

Prvá porucha je režim fail-closed klienta a jeho znakom je, že všetko mimo tunela sa zastaví, zatiaľ čo tunel sám funguje bezchybne. Druhá je skutočný problém dostupnosti: chýbajúca trasa, chýbajúci záznam na serveri pre podsieť za klientom alebo dve siete s rovnakým rozsahom adries. Obe dajú stroj, ktorý vie prehliadať a nevie tlačiť, a ich opravy sú protikladné, takže diagnóza musí prísť pred konfiguráciou.

Rozlišujúcim pozorovaním je, či je miestna podsieť stále v smerovacej tabuľke, zatiaľ čo prevádzka do nej sa zahadzuje.

Tri podmienky rozhodujú o odpovedi

Po prvé, potrebuje tento stroj fail-closed? Ak je odpoveď áno, spadnutý tunel musí zastaviť prevádzku, namiesto toho aby ju nechal spadnúť späť na fyzické rozhranie, a táto požiadavka je dôležitejšia než miestne pohodlie. Po druhé, musia miestne zariadenia zostať dostupné, kým je tunel aktívny? Tlač, sieťové úložisko a miestne konzoly správy sú obvyklé dôvody a sú to oprávnené požiadavky, nie výnimky, za ktoré sa treba ospravedlňovať. Po tretie, vyjadruje profil predvolenú hodnotu ako doslovné 0.0.0.0/0? Práve tento detail spúšťa pravidlá klienta a je upraviteľný.

Odpovedzte na tieto tri písomne, než sa dotknete profilu, pretože každá odpoveď ukazuje na inú konfiguráciu.

Zvoľte fail-closed a vzdajte sa LAN

Ak je únik dôležitejší než miestna dostupnosť, ponechajte doslovné predvolené nastavenie a nechajte Blokovať prevádzku mimo tunela zapnuté. Je to koherentný postoj: stroj sa považuje za zariadenie, ktoré je buď v tuneli, alebo offline, a miestne služby sa dosahujú z iného zariadenia alebo cez tunel, ak ich server smeruje. Cena je reálna a mala by byť uvedená v poznámkach k nasadeniu, namiesto toho aby ju objavil ten, kto potrebuje tlačiť.

Toto je správna voľba pre stroje, ktoré robia prácu, ktorá sa nesmie objaviť v kaviarenskej sieti, keď tunel spadne. Je to zlá predvolená hodnota pre domáci notebook, ktorý potrebuje aj skener.

Zvoľte prístup do LAN a vyjadrite predvolenú hodnotu inak

Ak musia miestne zariadenia zostať dostupné, vyjadrite rovnaké pokrytie bez doslovného predvoleného prefixu. Dva polovičné prefixy pokrývajú každú adresu IPv4, ekvivalentná dvojica pokrýva IPv6 a klient už nevkladá blokujúce pravidlá, pretože hľadaný reťazec chýba.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Odškrtnutie tohto políčka prinúti klienta zapísať do profilu tie isté dve dvojice, takže porovnanie vygenerovaného súboru s blokom vyššie je rýchly spôsob, ako mechanizmus potvrdiť, a nie o ňom špekulovať. Vyplývajú z toho dva dôsledky. Pokrytie je rovnaké, takže na tuneli sa nič iné nemení. Ochrana nie je rovnaká: keď pravidlá zmiznú, spadnutý tunel nechá stroj na jeho fyzickom rozhraní, a presne tomu fail-closed zabraňovalo.

Preverte aj ostatných dvoch podozrivých

Keď je otázka firewallu vyriešená, overte, že miestna podsieť sa skutočne smeruje a že vzdialená strana vie o všetkom za týmto klientom. Server, ktorý musí dosiahnuť LAN za klientom, potrebuje tento prefix v povolenom zozname klienta na hube; vynechajte ho a hub nemôže pre tieto adresy vybrať peera, a žiadna klientská konfigurácia ho nevytvorí.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategória siete je dôležitejšia, než ľudia čakajú: novovytvorený adaptér tunela klasifikovaný ako verejný mení pravidlá, ktoré sa naň vzťahujú, a výsledok môže vyzerať ako blokovanie firewallom na vzdialenej strane. Výpis trás ukazuje, či predvolená trasa vôbec existuje, čo oddeľuje problém politiky od chýbajúcej trasy.

Potom vyskúšajte tri veci v jednom sedení: internet, jedného miestneho hostiteľa podľa adresy a jedného hostiteľa cez tunel. Handshake dokazuje len to, že kľúče sedia, takže politiku preukazujú práve tri testy. Ak miestny hostiteľ stále odmieta po vypnutí voľby, zostávajúcimi podozrivými sú trasa, povolený zoznam vzdialenej strany a duplicitná podsieť, v tomto poradí.