Nödstopp eller LAN-åtkomst? Två svar för WireGuard

Handskakningen slutförs, surfandet fungerar, och skrivaren, NAS:en och de lokala SSH-värdarna försvinner. På Windows-klienten är detta oftast inte ett routingfel alls: en peer vars tillåtna prefix innehåller det bokstavliga standardvärdet aktiverar Blockera trafik utanför tunneln, och det alternativet är implementerat som brandväggsregler som släpper paket som går ut via något annat gränssnitt. Ruttabellen visar fortfarande det lokala subnätet som direkt anslutning, och därför känns symptomet som en lögn. Tre villkor avgör vad som bör göras, och bara ett av dem handlar om routing.

Två fel bär samma symptom

Det första felet är klientens fail-closed-läge, och kännetecknet är att allt utanför tunneln stannar medan själva tunneln fungerar felfritt. Det andra är ett verkligt nåbarhetsproblem: en saknad rutt, en saknad post på servern för ett subnät bakom klienten, eller två nätverk med samma adressområde. Båda ger en maskin som kan surfa och inte kan skriva ut, och deras åtgärder är motsatta, så diagnosen måste komma före konfigurationen.

Den avgörande observationen är om det lokala subnätet fortfarande finns i ruttabellen medan trafik dit kastas.

Tre villkor avgör svaret

För det första, behöver den här maskinen fail-closed? Om svaret är ja måste en tunnel som faller stoppa trafiken i stället för att låta den falla tillbaka på det fysiska gränssnittet, och det kravet väger tyngre än lokal bekvämlighet. För det andra, måste lokala enheter förbli nåbara medan tunneln är uppe? Utskrift, nätverkslagring och lokala administrationskonsoler är de vanliga skälen, och de är legitima krav, inte undantag man ska be om ursäkt för. För det tredje, uttrycker profilen standardvärdet som ett bokstavligt 0.0.0.0/0? Just den detaljen utlöser klientens regler, och den kan redigeras.

Svara på de tre skriftligt innan du rör en profil, eftersom varje svar pekar på en annan konfiguration.

Välj fail-closed och ge upp LAN

Om läckage betyder mer än lokal nåbarhet, behåll det bokstavliga standardvärdet och låt Blockera trafik utanför tunneln vara på. Det är en sammanhängande hållning: maskinen behandlas som en enhet som antingen är inne i tunneln eller offline, och lokala tjänster nås från en annan enhet eller genom tunneln om servern routar dem. Kostnaden är verklig och bör stå i driftsanteckningarna i stället för att upptäckas av personen som måste skriva ut.

Det här är rätt val för maskiner som utför arbete som inte får synas på ett kafénätverk när tunneln faller. Det är ett dåligt standardvärde för en hemmalaptop som också behöver skannern.

Välj LAN-åtkomst och uttryck standardvärdet annorlunda

Om lokala enheter måste förbli nåbara, uttryck samma täckning utan det bokstavliga standardprefixet. Två halvprefix täcker varje IPv4-adress, det motsvarande paret täcker IPv6, och klienten infogar inte längre de blockerande reglerna eftersom strängen den letar efter saknas.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Att ta bort den kryssrutan får klienten att skriva samma två par i profilen, så att jämföra den genererade filen med blocket ovan är ett snabbt sätt att bekräfta mekanismen i stället för att gissa sig till den. Två konsekvenser följer. Täckningen är identisk, så inget annat vid tunneln ändras. Skyddet är inte identiskt: när reglerna är borta låter en tunnel som faller maskinen använda sitt fysiska gränssnitt, och det var precis vad fail-closed förhindrade.

Kontrollera de andra två misstänkta ändå

När brandväggsfrågan är avgjord, bekräfta att det lokala subnätet faktiskt routas och att den andra änden känner till allt bakom den här klienten. En server som måste nå ett LAN bakom en klient behöver det prefixet i klientens tillåtna lista på hubben; utelämnar du det kan hubben inte välja en peer för de adresserna, och ingen klientkonfiguration skapar en.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Nätverkskategorin spelar större roll än folk förväntar sig: en nyupprättad tunneladapter som klassas som offentlig ändrar vilka regler som gäller för den, och resultatet kan se ut som en brandväggsblockering på andra sidan. Ruttutskriften visar om det över huvud taget finns ett standardvärde, vilket skiljer ett policyproblem från en saknad rutt.

Testa sedan tre saker i en och samma session: internet, en lokal värd efter adress och en värd genom tunneln. Handskakningen bevisar bara att nycklarna stämmer, så det är de tre testerna som visar policyn. Om den lokala värden fortfarande nekar med alternativet borttaget, är de kvarvarande misstänkta rutten, den tillåtna listan på andra sidan och det dubbla subnätet, i den ordningen.