Хитно искључивање или приступ LAN-у? Два одговора за WireGuard

Руковање се завршава, прегледање ради, а штампач, NAS и локални SSH домаћини нестају. У клијенту за Windows ово обично уопште није квар рутирања: партнер чији дозвољени префикси садрже буквалну подразумевану вредност активира Блокирај саобраћај изван тунела, а та опција је изведена као правила заштитног зида која одбацују пакете који излазе кроз било који други интерфејс. Табела рута и даље приказује локалну подмрежу као директну везу, зато симптом изгледа као лаж. Шта с тим чинити одлучују три услова, а само један од њих тиче се рутирања.

Два квара носе исти симптом

Први квар је режим fail-closed клијента, а његов знак је да се све изван тунела зауставља док сам тунел ради беспрекорно. Други је стварни проблем доступности: рута која недостаје, запис који недостаје на серверу за подмрежу иза клијента, или две мреже које деле исти опсег адреса. Оба дају машину која може да прегледа и не може да штампа, а њихове поправке су супротне, па дијагноза мора да дође пре конфигурације.

Разликујуће запажање је да ли је локална подмрежа још у табели рута док се саобраћај ка њој одбацује.

Три услова одлучују одговор

Прво, да ли је овој машини потребан fail-closed? Ако је одговор да, пали тунел мора да заустави саобраћај уместо да га пусти назад на физички интерфејс, и тај захтев је важнији од локалне удобности. Друго, морају ли локални уређаји да остану доступни док је тунел активан? Штампање, мрежно складиште и локалне конзоле за управљање су уобичајени разлози, и то су легитимни захтеви, а не изузеци за које треба да се извињавамо. Треће, да ли профил изражава подразумевану вредност као буквално 0.0.0.0/0? Управо тај детаљ покреће правила клијента, и он је измењив.

Одговорите на ова три питања писано пре него што дотакнете профил, јер сваки одговор упућује на другу конфигурацију.

Изаберите fail-closed и одреците се LAN-а

Ако је цурење важније од локалне доступности, задржите буквалну подразумевану вредност и оставите Блокирај саобраћај изван тунела укључено. То је кожерентан став: машина се третира као уређај који је или у тунелу или ван мреже, а локалне услуге се достижу са другог уређаја или кроз тунел ако их сервер рутира. Цена је стварна и треба је навести у белешкама о распоређивању, уместо да је открије особа која треба да штампа.

Ово је прави избор за машине које обављају посао који не сме да се појави на мрежи кафића када тунел падне. То је лоша подразумевана вредност за кућни преносни рачунар којем такође треба скенер.

Изаберите приступ LAN-у и изразите подразумевану вредност другачије

Ако локални уређаји морају да остану доступни, изразите исто покривање без буквалног подразумеваног префикса. Два половична префикса покривају сваку IPv4 адресу, еквивалентни пар покрива IPv6, и клијент више не убацује правила блокирања јер ниска коју тражи недостаје.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Уклањање те ознаке тера клијента да у профил упише иста два пара, па је поређење генерисане датотеке са блоком изнад брз начин да потврдите механизам уместо да га претпостављате. Следе две последице. Покривање је идентично, па се ништа друго у тунелу не мења. Заштита није идентична: када правила нестану, пали тунел оставља машину на њеном физичком интерфејсу, а управо је то fail-closed спречавао.

Проверите и друга два осумњичена

Када је питање заштитног зида решено, потврдите да се локална подмрежа заиста рутира и да далека страна зна за све иза овог клијента. Сервер који мора да стигне до LAN-а иза клијента треба тај префикс у дозвољеној листи клијента на чворишту; ако га изоставите, чвориште не може да одабере партнера за те адресе, и никаква конфигурација клијента не ствара таквог.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Категорија мреже је важнија него што људи очекују: новостворени адаптер тунела класификован као јаван мења која правила се на њега примењују, а резултат може да изгледа као блокирање заштитног зида на далекој страни. Испис рута показује да ли подразумевана рута уопште постоји, што одваја проблем политике од руте која недостаје.

Затим у једној седници испробајте три ствари: интернет, један локални домаћин по адреси и један домаћин кроз тунел. Руковање доказује само да се кључеви поклапају, па политику показују управо три теста. Ако локални домаћин и даље одбија са уклоњеном опцијом, преостали осумњичени су рута, дозвољена листа далеке стране и дуплирана подмрежа, тим редом.