அவசர நிறுத்தமா அல்லது LAN அணுகலா? WireGuard-க்கு இரண்டு பதில்கள்

கைக்குலுக்கல் நிறைவடைகிறது, உலாவுதல் வேலை செய்கிறது, ஆனால் அச்சுப்பொறி, NAS மற்றும் உள்ளூர் SSH புரவலர்கள் மறைந்துவிடுகின்றன. Windows வாடிக்கையாளரில் இது பொதுவாக வழிப்படுத்தல் தோல்வியே அல்ல: அனுமதிக்கப்பட்ட முன்னொட்டுகளில் நேரடி இயல்புநிலை உள்ள சகாவானது பாதையின் வெளியேயுள்ள போக்குவரத்தைத் தடு என்பதைச் செயல்படுத்துகிறது, அந்த விருப்பம் வேறு எந்த இடைமுகத்தின் வழியாகவும் வெளியேறும் பொதிகளைத் தூக்கி எறியும் தீச்சுவர் விதிகளாகச் செயல்படுத்தப்படுகிறது. திசைவழி அட்டவணை உள்ளூர் துணைப்பிணையத்தை இன்னும் நேரடித் தொடுப்பாகக் காட்டுகிறது, அதனால்தான் அறிகுறி பொய்யாகத் தோன்றுகிறது. இதைப் பற்றி என்ன செய்வது என்பதை மூன்று நிபந்தனைகள் தீர்மானிக்கின்றன, அவற்றில் ஒன்று மட்டுமே வழிப்படுத்தல் பற்றியது.

இரு தோல்விகள் ஒரே அறிகுறியைத் தாங்குகின்றன

முதல் தோல்வி வாடிக்கையாளரின் fail-closed முறை, அதன் அடையாளம் என்னவென்றால் பாதைக்கு வெளியே உள்ள அனைத்தும் நிற்கும் அதே வேளையில் பாதை தானே குறையின்றி வேலை செய்கிறது. இரண்டாவது உண்மையான அணுகல் சிக்கல்: விடுபட்ட திசைவழி, வாடிக்கையாளருக்குப் பின்னுள்ள துணைப்பிணையத்திற்கான சேவையகத்தில் விடுபட்ட பதிவு, அல்லது ஒரே முகவரி வரம்பைப் பகிரும் இரு வலைப்பிணையங்கள். இரண்டும் உலாவ முடிந்தும் அச்சிட முடியாத இயந்திரத்தை உருவாக்குகின்றன, அவற்றின் திருத்தங்கள் எதிர்மறையானவை, எனவே கண்டறிதல் கட்டமைப்பிற்கு முன் வர வேண்டும்.

வேறுபடுத்தும் கவனிப்பு என்னவென்றால், அதை நோக்கிய போக்குவரத்து தூக்கி எறியப்படும் வேளையில் உள்ளூர் துணைப்பிணையம் இன்னும் திசைவழி அட்டவணையில் உள்ளதா என்பதாகும்.

மூன்று நிபந்தனைகள் பதிலைத் தீர்மானிக்கின்றன

முதலில், இந்த இயந்திரத்திற்கு fail-closed தேவையா? பதில் ஆம் எனில், விழும் பாதை போக்குவரத்தை நிறுத்த வேண்டும், அதை இயற்பியல் இடைமுகத்திற்குத் திரும்ப அனுமதிப்பதற்குப் பதிலாக, அந்தத் தேவை உள்ளூர் வசதியை விட மேலானது. இரண்டாவது, பாதை இயங்கும் போது உள்ளூர் சாதனங்கள் அணுகக்கூடியதாக இருக்க வேண்டுமா? அச்சிடுதல், வலைப்பிணையச் சேமிப்பு மற்றும் உள்ளூர் நிர்வாகப் பணியகங்கள் வழக்கமான காரணங்கள், இவை சட்டபூர்வமான தேவைகள், மன்னிப்புக் கோர வேண்டிய விலக்குகள் அல்ல. மூன்றாவது, சுயவிவரம் இயல்புநிலையை நேரடியான 0.0.0.0/0 ஆக வெளிப்படுத்துகிறதா? அந்த விவரமே வாடிக்கையாளரின் விதிகளைச் செயல்படுத்துகிறது, அதைத் திருத்தலாம்.

சுயவிவரத்தைத் தொடும் முன் இந்த மூன்றிற்கும் எழுத்துப்பூர்வமாகப் பதிலளியுங்கள், ஏனெனில் ஒவ்வொரு பதிலும் வெவ்வேறு கட்டமைப்பைச் சுட்டுகிறது.

fail-closed தேர்ந்தெடுத்து LAN-ஐ விட்டுவிடுங்கள்

கசிவு உள்ளூர் அணுகலை விட முக்கியம் எனில், நேரடி இயல்புநிலையை வைத்துக்கொண்டு பாதையின் வெளியேயுள்ள போக்குவரத்தைத் தடு செயலில் வையுங்கள். இது சீரான நிலைப்பாடு: இயந்திரம் பாதைக்குள் அல்லது இணைப்பின்றி இருக்கும் சாதனமாகக் கருதப்படுகிறது, உள்ளூர் சேவைகள் மற்றொரு சாதனத்திலிருந்து அல்லது சேவையகம் அவற்றை வழிப்படுத்தினால் பாதை வழியாக அணுகப்படுகின்றன. விலை உண்மையானது, அதை அச்சிட வேண்டியவர் கண்டுபிடிப்பதற்குப் பதிலாகப் பயன்பாட்டுக் குறிப்புகளில் குறிப்பிட வேண்டும்.

பாதை விழும்போது கஃபே வலைப்பிணையத்தில் தெரியக்கூடாத வேலையைச் செய்யும் இயந்திரங்களுக்கு இது சரியான தேர்வு. ஸ்கேனரும் தேவைப்படும் வீட்டு மடிக்கணினிக்கு இது மோசமான இயல்புநிலை.

LAN அணுகலைத் தேர்ந்தெடுத்து இயல்புநிலையை வேறு விதமாக வெளிப்படுத்துங்கள்

உள்ளூர் சாதனங்கள் அணுகக்கூடியதாக இருக்க வேண்டும் எனில், நேரடி இயல்புநிலை முன்னொட்டு இல்லாமல் அதே பரப்பை வெளிப்படுத்துங்கள். இரண்டு அரை முன்னொட்டுகள் ஒவ்வொரு IPv4 முகவரியையும் உள்ளடக்குகின்றன, சமமான இணை IPv6 ஐ உள்ளடக்குகிறது, வாடிக்கையாளர் இனி தடுக்கும் விதிகளைச் செருகுவதில்லை, ஏனெனில் அது தேடும் சரம் இல்லை.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

அந்தத் தேர்வுப்பெட்டியை நீக்குவது அதே இரு இணைகளைச் சுயவிவரத்தில் எழுதச் செய்கிறது, எனவே உருவாக்கப்பட்ட கோப்பை மேலேயுள்ள தொகுதியுடன் ஒப்பிடுவது பொறிமுறையை ஊகிப்பதற்குப் பதிலாக உறுதிப்படுத்தும் விரைவான வழி. இதிலிருந்து இரண்டு விளைவுகள் உண்டாகின்றன. பரப்பு ஒன்றுதான், எனவே பாதையில் வேறு எதுவும் மாறாது. பாதுகாப்பு ஒன்றல்ல: விதிகள் நீங்கியதும், விழும் பாதை இயந்திரத்தை அதன் இயற்பியல் இடைமுகத்தில் விட்டுவிடுகிறது, fail-closed தடுத்தது சரியாக அதைத்தான்.

மற்ற இரு சந்தேகத்திற்குரியவற்றையும் சரிபாருங்கள்

தீச்சுவர் கேள்வி தீர்ந்ததும், உள்ளூர் துணைப்பிணையம் உண்மையிலேயே வழிப்படுத்தப்படுகிறதா, இந்த வாடிக்கையாளருக்குப் பின்னுள்ள அனைத்தையும் தொலை முனை அறிந்திருக்கிறதா என்பதை உறுதிப்படுத்துங்கள். வாடிக்கையாளருக்குப் பின்னுள்ள LAN ஐ அடைய வேண்டிய சேவையகத்திற்கு, மையத்தில் வாடிக்கையாளரின் அனுமதிக்கப்பட்ட பட்டியலில் அந்த முன்னொட்டு தேவை; அதை விட்டுவிட்டால் மையம் அந்த முகவரிகளுக்குச் சகாவைத் தேர்ந்தெடுக்க முடியாது, எந்த வாடிக்கையாளர் கட்டமைப்பும் ஒன்றை உருவாக்காது.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

வலைப்பிணைய வகை மக்கள் எதிர்பார்ப்பதை விட முக்கியம்: புதிதாக உருவாக்கப்பட்ட பாதை அடாப்டர் பொதுவானது என வகைப்படுத்தப்பட்டால் அதற்குப் பொருந்தும் விதிகள் மாறும், விளைவு தொலை முனையில் தீச்சுவர் தடையாகத் தோன்றலாம். திசைவழி அச்சு இயல்புநிலை ஏதேனும் உள்ளதா என்பதைக் காட்டுகிறது, இது கொள்கைச் சிக்கலை விடுபட்ட திசைவழியிலிருந்து பிரிக்கிறது.

பின்னர் ஒரே அமர்வில் மூன்று விஷயங்களைச் சோதியுங்கள்: இணையம், முகவரியின் மூலம் ஒரு உள்ளூர் புரவலன், பாதை வழியாக ஒரு புரவலன். கைக்குலுக்கல் விசைகள் பொருந்துவதை மட்டுமே நிரூபிக்கிறது, எனவே மூன்று சோதனைகளே கொள்கையைக் காட்டுகின்றன. விருப்பம் நீக்கப்பட்ட பிறகும் உள்ளூர் புரவலன் மறுத்தால், மீதமுள்ள சந்தேகத்திற்குரியவை திசைவழி, தொலை முனையின் அனுமதிக்கப்பட்ட பட்டியல் மற்றும் நகலான துணைப்பிணையம், அதே வரிசையில்.