Kuzima dharura au ufikiaji wa LAN? Majibu mawili kwa WireGuard

Kupeana mikono hukamilika, kuvinjari kunafanya kazi, na printa, NAS pamoja na wenyeji wa SSH wa ndani hutoweka. Katika mteja wa Windows hili kwa kawaida si kosa la uelekezaji hata kidogo: rika ambalo viambishi vyake vilivyoruhusiwa vinajumuisha chaguo-msingi halisi huwasha Zuia trafiki iliyo nje ya handaki, na chaguo hilo linatekelezwa kama kanuni za ngome ya moto zinazotupa pakiti zinazotoka kupitia kiolesura kingine chochote. Jedwali la njia bado linaonyesha subnet ya ndani kama kiungo cha moja kwa moja, ndiyo sababu dalili inaonekana kama uongo. Masharti matatu huamua nini cha kufanya, na ni moja tu kati yao linahusu uelekezaji.

Makosa mawili yana dalili moja

Kosa la kwanza ni hali ya fail-closed ya mteja, na alama yake ni kwamba kila kitu nje ya handaki husimama wakati handaki yenyewe inafanya kazi kikamilifu. La pili ni tatizo halisi la ufikivu: njia inayokosekana, ingizo linalokosekana kwenye seva kwa subnet iliyo nyuma ya mteja, au mitandao miwili inayoshiriki masafa sawa ya anwani. Zote mbili hutoa mashine inayoweza kuvinjari na haiwezi kuchapisha, na marekebisho yao ni kinyume, kwa hiyo utambuzi lazima uje kabla ya usanidi.

Uchunguzi unaotofautisha ni kama subnet ya ndani bado iko kwenye jedwali la njia wakati trafiki kuelekea humo inatupwa.

Masharti matatu huamua jibu

Kwanza, je, mashine hii inahitaji fail-closed? Ikiwa jibu ni ndiyo, handaki inayoanguka lazima isimamishe trafiki badala ya kuiacha irudi kwenye kiolesura cha kimwili, na hitaji hilo ni muhimu kuliko faraja ya ndani. Pili, je, vifaa vya ndani vinapaswa kubaki vifikikivu wakati handaki iko juu? Uchapishaji, hifadhi ya mtandao na konsoli za usimamizi wa ndani ni sababu za kawaida, na haya ni mahitaji halali, si vighairi vya kuomba msamaha. Tatu, je, wasifu unaonyesha chaguo-msingi kama 0.0.0.0/0 halisi? Maelezo hayo ndiyo huwasha kanuni za mteja, na yanaweza kuhaririwa.

Jibu haya matatu kwa maandishi kabla ya kugusa wasifu, kwa sababu kila jibu linaelekeza kwenye usanidi tofauti.

Chagua fail-closed na uachane na LAN

Ikiwa uvujaji ni muhimu zaidi kuliko ufikivu wa ndani, hifadhi chaguo-msingi halisi na uache Zuia trafiki iliyo nje ya handaki ikiwa imewashwa. Hii ni msimamo thabiti: mashine inachukuliwa kama kifaa kilicho ndani ya handaki au nje ya mtandao, na huduma za ndani hufikiwa kutoka kifaa kingine au kupitia handaki ikiwa seva inazielekeza. Gharama ni halisi na inapaswa kutajwa katika maelezo ya usambazaji, badala ya kugunduliwa na mtu anayehitaji kuchapisha.

Hili ni chaguo sahihi kwa mashine zinazofanya kazi ambayo haipaswi kuonekana kwenye mtandao wa mkahawa handaki inapoanguka. Ni chaguo-msingi mbaya kwa kompyuta ya mkononi ya nyumbani inayohitaji pia kichanganuzi.

Chagua ufikiaji wa LAN na ueleze chaguo-msingi kwa njia nyingine

Ikiwa vifaa vya ndani vinapaswa kubaki vifikikivu, eleza ufikiaji huo huo bila kiambishi cha chaguo-msingi halisi. Viambishi viwili vya nusu hufunika kila anwani ya IPv4, jozi inayolingana hufunika IPv6, na mteja haingizi tena kanuni za kuzuia kwa sababu mfuatano inaoutafuta haupo.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Kuondoa alama hiyo hufanya mteja aandike jozi hizo mbili kwenye wasifu, kwa hiyo kulinganisha faili iliyotengenezwa na kizuizi kilicho juu ni njia ya haraka ya kuthibitisha utaratibu badala ya kuukisia. Matokeo mawili yanafuata. Ufikiaji ni sawa, kwa hiyo hakuna kingine kwenye handaki kinabadilika. Ulinzi si sawa: kanuni zikiondolewa, handaki inayoanguka huiacha mashine ikitumia kiolesura chake cha kimwili, na hilo ndilo hasa fail-closed ilikuwa ikizuia.

Angalia washukiwa wengine wawili hata hivyo

Baada ya suala la ngome ya moto kutatuliwa, thibitisha kwamba subnet ya ndani inaelekezwa kweli na kwamba upande wa mbali unajua kila kitu kilicho nyuma ya mteja huyu. Seva ambayo lazima ifikie LAN iliyo nyuma ya mteja inahitaji kiambishi hicho kwenye orodha inayoruhusiwa ya mteja kwenye kitovu; ukiacha, kitovu hakiwezi kuchagua rika kwa anwani hizo, na hakuna usanidi wa mteja unaotengeneza kimoja.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Aina ya mtandao ni muhimu zaidi kuliko watu wanavyotarajia: adapta mpya ya handaki inayoainishwa kama ya umma hubadilisha kanuni zinazotumika kwake, na matokeo yanaweza kuonekana kama kuzuiwa na ngome ya moto upande wa mbali. Uchapishaji wa njia unaonyesha kama chaguo-msingi lipo hata kidogo, jambo ambalo hutenganisha tatizo la sera na njia inayokosekana.

Kisha jaribu mambo matatu katika kikao kimoja: intaneti, mwenyeji mmoja wa ndani kwa anwani, na mwenyeji mmoja kupitia handaki. Kupeana mikono kunathibitisha tu kwamba funguo zinapatana, kwa hiyo majaribio matatu ndiyo yanayoonyesha sera. Ikiwa mwenyeji wa ndani bado anakataa baada ya chaguo kuondolewa, washukiwa waliobaki ni njia, orodha inayoruhusiwa ya upande wa mbali na subnet iliyorudiwa, kwa mpangilio huo.