Zasilna zaustavitev ali dostop do LAN? Dva odgovora za WireGuard

Rokovanje se zaključi, brskanje deluje, tiskalnik, NAS in lokalni SSH gostitelji pa izginejo. V odjemalcu Windows to običajno sploh ni napaka usmerjanja: enakovredno vozlišče, katerega dovoljene predpone vsebujejo dobesedno privzeto vrednost, aktivira Blokiraj promet zunaj tunela, ta možnost pa je izvedena kot pravila požarnega zidu, ki zavržejo pakete, ki odhajajo skozi kateri koli drug vmesnik. Usmerjevalna tabela še vedno prikazuje lokalno podomrežje kot neposredno povezavo, zato se simptom zdi kot laž. Kaj storiti, odločajo trije pogoji, in samo eden od njih se nanaša na usmerjanje.

Dve napaki nosita isti simptom

Prva napaka je način fail-closed odjemalca, njegov znak pa je, da se vse zunaj tunela ustavi, medtem ko sam tunel deluje brezhibno. Druga je resnična težava dosegljivosti: manjkajoča pot, manjkajoči vnos na strežniku za podomrežje za odjemalcem ali dve omrežji z istim razponom naslovov. Obe dasta stroj, ki lahko brska in ne more tiskati, njune rešitve pa so nasprotne, zato mora diagnoza priti pred konfiguracijo.

Razlikovalno opažanje je, ali je lokalno podomrežje še vedno v usmerjevalni tabeli, medtem ko se promet do njega zavrže.

Trije pogoji odločajo o odgovoru

Prvič, potrebuje ta stroj fail-closed? Če je odgovor da, mora tunel, ki pade, ustaviti promet, namesto da ga pusti nazaj na fizični vmesnik, in ta zahteva je pomembnejša od lokalnega udobja. Drugič, morajo lokalne naprave ostati dosegljive, dokler je tunel aktiven? Tiskanje, omrežna shramba in lokalne upravljalne konzole so običajni razlogi, in to so zakonite zahteve, ne izjeme, za katere se je treba opravičevati. Tretjič, ali profil izraža privzeto vrednost kot dobesedno 0.0.0.0/0? Prav ta podrobnost sproži pravila odjemalca in jo je mogoče urejati.

Na te tri odgovorite pisno, preden se dotaknete profila, ker vsak odgovor kaže na drugačno konfiguracijo.

Izberite fail-closed in se odpovejte LAN

Če je uhajanje pomembnejše od lokalne dosegljivosti, obdržite dobesedno privzeto vrednost in pustite Blokiraj promet zunaj tunela vklopljeno. To je skladno stališče: stroj se obravnava kot naprava, ki je bodisi v tunelu bodisi brez povezave, lokalne storitve pa se dosežejo z druge naprave ali skozi tunel, če jih strežnik usmerja. Strošek je resničen in bi moral biti naveden v opombah za uvajanje, namesto da bi ga odkril človek, ki mora tiskati.

To je prava izbira za stroje, ki opravljajo delo, ki se ne sme pojaviti v kavarniškem omrežju, ko tunel pade. To je slaba privzeta vrednost za domači prenosnik, ki potrebuje tudi skener.

Izberite dostop do LAN in privzeto vrednost izrazite drugače

Če morajo lokalne naprave ostati dosegljive, izrazite enako pokritost brez dobesedne privzete predpone. Dve polpredponi pokrijeta vsak naslov IPv4, enakovredni par pokrije IPv6 in odjemalec ne vstavi več blokirnih pravil, ker niza, ki ga išče, ni.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Odstranitev te kljukice povzroči, da odjemalec v profil zapiše isti dve dvojici, zato je primerjava ustvarjene datoteke z blokom zgoraj hiter način za potrditev mehanizma, namesto ugibanja o njem. Sledita dve posledici. Pokritost je enaka, zato se na tunelu nič drugega ne spremeni. Zaščita ni enaka: ko pravila izginejo, tunel, ki pade, pusti stroj na njegovem fizičnem vmesniku, in prav to je fail-closed preprečeval.

Preverite še druga dva osumljenca

Ko je vprašanje požarnega zidu rešeno, potrdite, da se lokalno podomrežje res usmerja in da oddaljena stran ve za vse za tem odjemalcem. Strežnik, ki mora doseči LAN za odjemalcem, potrebuje to predpono na dovoljenem seznamu odjemalca na zvezdišču; če jo izpustite, zvezdišče ne more izbrati enakovrednega vozlišča za te naslove in nobena konfiguracija odjemalca je ne ustvari.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategorija omrežja je pomembnejša, kot ljudje pričakujejo: na novo ustvarjen vmesnik tunela, razvrščen kot javni, spremeni, katera pravila zanj veljajo, in rezultat je lahko videti kot blokada požarnega zidu na oddaljeni strani. Izpis poti pokaže, ali privzeta pot sploh obstaja, kar loči težavo pravilnika od manjkajoče poti.

Nato preizkusite tri stvari v eni seji: internet, enega lokalnega gostitelja po naslovu in enega gostitelja skozi tunel. Rokovanje dokaže le, da se ključi ujemajo, zato pravilo pokažejo prav trije preizkusi. Če lokalni gostitelj še vedno zavrača z izklopljeno možnostjo, so preostali sumljivci pot, dovoljeni seznam oddaljene strani in podvojeno podomrežje, v tem vrstnem redu.