Ndalim emergjent apo akses në LAN? Dy përgjigje për WireGuard

Shtrëngimi i duarve përfundon, shfletimi funksionon, dhe printeri, NAS dhe hostet lokale SSH zhduken. Në klientin e Windows kjo zakonisht nuk është aspak një dështim rrugëtimi: një peer, prefikset e lejuara të të cilit përfshijnë vlerën e paracaktuar fjalë për fjalë, aktivizon Blloko trafikun jashtë tunelit, dhe ajo opsion zbatohet si rregulla të firewall-it që hedhin paketat që dalin nëpërmjet çdo ndërfaqeje tjetër. Tabela e rrugëve vazhdon të listojë nënrrjetin lokal si lidhje të drejtpërdrejtë, prandaj simptoma duket si gënjeshtër. Çfarë duhet bërë përcaktohet nga tre kushte, dhe vetëm një prej tyre ka të bëjë me rrugëtimin.

Dy dështime mbajnë të njëjtën simptomë

Dështimi i parë është modaliteti fail-closed i klientit, dhe shenja e tij është se gjithçka jashtë tunelit ndalon ndërsa vetë tuneli punon në mënyrë të përsosur. I dyti është një problem i vërtetë arritshmërie: një rrugë që mungon, një hyrje që mungon në server për një nënrrjet pas klientit, ose dy rrjete që ndajnë të njëjtin interval adresash. Të dyja prodhojnë një makinë që shfleton dhe nuk printon, dhe zgjidhjet e tyre janë të kundërta, prandaj diagnoza duhet të vijë para konfigurimit.

Vëzhgimi dallues është nëse nënrrjeti lokal është ende i pranishëm në tabelën e rrugëve ndërsa trafiku drejt tij hidhet.

Tre kushte përcaktojnë përgjigjen

Së pari, a ka nevojë kjo makinë për fail-closed? Nëse përgjigja është po, një tunel që bie duhet të ndalojë trafikun në vend që ta lërë të kthehet në ndërfaqen fizike, dhe kjo kërkesë peshon më shumë se komoditeti lokal. Së dyti, a duhet të mbeten të arritshme pajisjet lokale sa kohë tuneli është aktiv? Printimi, ruajtja në rrjet dhe konsolat lokale të menaxhimit janë arsyet e zakonshme, dhe këto janë kërkesa legjitime, jo përjashtime për të cilat duhet kërkuar ndjesë. Së treti, a e shpreh profili vlerën e paracaktuar si 0.0.0.0/0 fjalë për fjalë? Pikërisht ky detaj aktivizon rregullat e klientit, dhe ai është i redaktueshëm.

Përgjigjuni këtyre të trejave me shkrim përpara se të prekni një profil, sepse çdo përgjigje të drejton te një konfigurim tjetër.

Zgjidhni fail-closed dhe hiqni dorë nga LAN

Nëse rrjedhja ka më shumë rëndësi se arritshmëria lokale, mbani vlerën e paracaktuar fjalë për fjalë dhe lini Blloko trafikun jashtë tunelit të aktivizuar. Ky është një qëndrim koherent: makina trajtohet si pajisje që është ose brenda tunelit ose jashtë linje, dhe shërbimet lokale arrihen nga një pajisje tjetër ose nëpërmjet tunelit nëse serveri i rrugëton. Kostoja është reale dhe duhet të shënohet në shënimet e vendosjes, në vend që ta zbulojë personi që duhet të printojë.

Kjo është zgjedhja e duhur për makinat që bëjnë punë që nuk duhet të shfaqet në një rrjet kafeneje kur tuneli bie. Është një vlerë e paracaktuar e keqe për një laptop shtëpiak që ka nevojë edhe për skanerin.

Zgjidhni aksesin në LAN dhe shprehni vlerën e paracaktuar ndryshe

Nëse pajisjet lokale duhet të mbeten të arritshme, shprehni të njëjtën mbulim pa prefiksin e paracaktuar fjalë për fjalë. Dy gjysmë-prefikse mbulojnë çdo adresë IPv4, çifti ekuivalent mbulon IPv6, dhe klienti nuk i fut më rregullat bllokuese sepse vargu që kërkon mungon.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Heqja e atij shenje bën që klienti të shkruajë të njëjtat dy çifte në profil, prandaj krahasimi i skedarit të gjeneruar me bllokun më sipër është një mënyrë e shpejtë për të konfirmuar mekanizmin në vend që ta hamendësosh. Pasojnë dy pasoja. Mbulimi është identik, prandaj asgjë tjetër në tunel nuk ndryshon. Mbrojtja nuk është identike: kur rregullat zhduken, një tunel që bie e lë makinën të përdorë ndërfaqen e saj fizike, dhe pikërisht këtë parandalonte fail-closed.

Kontrolloni edhe dy të dyshuarit e tjerë

Pasi çështja e firewall-it të zgjidhet, konfirmoni se nënrrjeti lokal është vërtet i rrugëtuar dhe se skaji i largët di gjithçka që ndodhet pas këtij klienti. Një server që duhet të arrijë një LAN pas një klienti ka nevojë për atë prefiks në listën e lejuar të klientit në hub; nëse e lini jashtë, hub-i nuk mund të zgjedhë një peer për ato adresa, dhe asnjë konfigurim klienti nuk krijon një të tillë.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Kategoria e rrjetit ka më shumë rëndësi sesa presin njerëzit: një përshtatës tuneli i krijuar së voni dhe i klasifikuar si publik ndryshon cilat rregulla zbatohen për të, dhe rezultati mund të duket si një bllokim i firewall-it në skajin e largët. Printimi i rrugëve tregon nëse ekziston fare një vlerë e paracaktuar, gjë që e ndan një problem politike nga një rrugë që mungon.

Pastaj provoni tri gjëra në një seancë: internetin, një host lokal sipas adresës dhe një host përmes tunelit. Shtrëngimi i duarve dëshmon vetëm se çelësat përputhen, prandaj tri provat janë ato që tregojnë politikën. Nëse hosti lokal vazhdon të refuzojë me opsionin e hequr, të dyshuarit e mbetur janë rruga, lista e lejuar e skajit të largët dhe nënrrjeti i dyfishuar, në atë rend.