สวิตช์ฉุกเฉินหรือการเข้าถึง LAN? สองคำตอบสำหรับ WireGuard

การจับมือเสร็จสมบูรณ์ การท่องเว็บทำงาน แต่เครื่องพิมพ์ NAS และโฮสต์ SSH ภายในเครื่องหายไป ในไคลเอนต์ Windows โดยทั่วไปแล้วนี่ไม่ใช่ความล้มเหลวของการกำหนดเส้นทางเลย: เพียร์ที่คำนำหน้าที่อนุญาตมีค่าเริ่มต้นตามตัวอักษรจะเปิดใช้ บล็อกทราฟฟิกนอกอุโมงค์ และตัวเลือกนั้นถูกนำไปใช้เป็นกฎไฟร์วอลล์ที่ทิ้งแพ็กเก็ตที่ออกผ่านอินเทอร์เฟซอื่นใด ตารางเส้นทางยังคงแสดงซับเน็ตภายในเป็นลิงก์โดยตรง นั่นคือเหตุผลที่อาการดูเหมือนคำโกหก มีเงื่อนไขสามข้อที่กำหนดว่าควรทำอะไร และมีเพียงข้อเดียวเท่านั้นที่เกี่ยวกับการกำหนดเส้นทาง

ความล้มเหลวสองอย่างมีอาการเดียวกัน

ความล้มเหลวแรกคือโหมด fail-closed ของไคลเอนต์ และลักษณะเฉพาะคือทุกอย่างนอกอุโมงค์หยุดทำงานในขณะที่อุโมงค์เองทำงานอย่างไร้ที่ติ อย่างที่สองคือปัญหาการเข้าถึงจริง: เส้นทางที่หายไป รายการที่หายไปบนเซิร์ฟเวอร์สำหรับซับเน็ตหลังไคลเอนต์ หรือสองเครือข่ายที่ใช้ช่วงแอดเดรสเดียวกัน ทั้งสองให้เครื่องที่ท่องเว็บได้และพิมพ์ไม่ได้ และวิธีแก้กลับตรงกันข้าม ดังนั้นการวินิจฉัยต้องมาก่อนการกำหนดค่า

การสังเกตที่แยกแยะได้คือซับเน็ตภายในยังอยู่ในตารางเส้นทางหรือไม่ในขณะที่ทราฟฟิกไปยังซับเน็ตนั้นถูกทิ้ง

เงื่อนไขสามข้อกำหนดคำตอบ

ประการแรก เครื่องนี้ต้องการ fail-closed หรือไม่ หากคำตอบคือใช่ อุโมงค์ที่หลุดต้องหยุดทราฟฟิกแทนที่จะปล่อยให้กลับไปยังอินเทอร์เฟซทางกายภาพ และข้อกำหนดนั้นสำคัญกว่าความสะดวกในเครื่อง ประการที่สอง อุปกรณ์ภายในต้องเข้าถึงได้ในขณะที่อุโมงค์ทำงานหรือไม่ การพิมพ์ พื้นที่เก็บข้อมูลเครือข่าย และคอนโซลการจัดการภายในเป็นเหตุผลปกติ และสิ่งเหล่านี้เป็นข้อกำหนดที่ชอบธรรม ไม่ใช่ข้อยกเว้นที่ต้องขอโทษ ประการที่สาม โปรไฟล์แสดงค่าเริ่มต้นเป็น 0.0.0.0/0 ตามตัวอักษรหรือไม่ รายละเอียดนั้นเองที่กระตุ้นกฎของไคลเอนต์ และแก้ไขได้

ตอบทั้งสามข้อเป็นลายลักษณ์อักษรก่อนแตะโปรไฟล์ เพราะแต่ละคำตอบชี้ไปยังการกำหนดค่าที่แตกต่างกัน

เลือก fail-closed และสละ LAN

หากการรั่วไหลสำคัญกว่าการเข้าถึงภายใน ให้คงค่าเริ่มต้นตามตัวอักษรและเปิด บล็อกทราฟฟิกนอกอุโมงค์ ไว้ นี่คือจุดยืนที่สอดคล้องกัน: เครื่องถูกมองว่าเป็นอุปกรณ์ที่อยู่ภายในอุโมงค์หรือออฟไลน์ และบริการภายในเข้าถึงได้จากอุปกรณ์อื่นหรือผ่านอุโมงค์หากเซิร์ฟเวอร์กำหนดเส้นทางให้ ต้นทุนนั้นเป็นของจริงและควรระบุไว้ในบันทึกการติดตั้งใช้งาน แทนที่จะให้ผู้ที่ต้องพิมพ์เป็นผู้ค้นพบเอง

นี่คือทางเลือกที่ถูกต้องสำหรับเครื่องที่ทำงานซึ่งไม่ควรปรากฏบนเครือข่ายคาเฟ่เมื่ออุโมงค์หลุด และเป็นค่าเริ่มต้นที่ไม่ดีสำหรับแล็ปท็อปที่บ้านซึ่งต้องใช้สแกนเนอร์ด้วย

เลือกการเข้าถึง LAN และแสดงค่าเริ่มต้นอีกแบบ

หากอุปกรณ์ภายในต้องเข้าถึงได้ ให้แสดงความครอบคลุมเดียวกันโดยไม่มีคำนำหน้าเริ่มต้นตามตัวอักษร คำนำหน้าครึ่งหนึ่งสองตัวครอบคลุมทุกแอดเดรส IPv4 คู่ที่เทียบเท่าครอบคลุม IPv6 และไคลเอนต์ไม่แทรกกฎบล็อกอีกต่อไปเพราะสตริงที่ค้นหาไม่มีอยู่

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

การเอาติ๊กออกทำให้ไคลเอนต์เขียนคู่เดิมสองคู่ลงในโปรไฟล์ ดังนั้นการเปรียบเทียบไฟล์ที่สร้างกับบล็อกด้านบนจึงเป็นวิธีที่รวดเร็วในการยืนยันกลไกแทนการเดา มีผลลัพธ์สองประการตามมา ความครอบคลุมเหมือนเดิม จึงไม่มีสิ่งอื่นในอุโมงค์เปลี่ยน การป้องกันไม่เหมือนเดิม: เมื่อกฎหายไป อุโมงค์ที่หลุดจะปล่อยให้เครื่องใช้อินเทอร์เฟซทางกายภาพของตน และนั่นคือสิ่งที่ fail-closed ป้องกันไว้

ตรวจสอบผู้ต้องสงสัยอีกสองรายด้วย

เมื่อคำถามเรื่องไฟร์วอลล์ชัดเจนแล้ว ให้ยืนยันว่าซับเน็ตภายในถูกกำหนดเส้นทางจริงและปลายทางไกลรู้ทุกอย่างที่อยู่หลังไคลเอนต์นี้ เซิร์ฟเวอร์ที่ต้องเข้าถึง LAN หลังไคลเอนต์ต้องมีคำนำหน้านั้นในรายการที่อนุญาตของไคลเอนต์บนฮับ หากละไว้ ฮับจะเลือกเพียร์สำหรับแอดเดรสเหล่านั้นไม่ได้ และไม่มีการกำหนดค่าไคลเอนต์ใดสร้างขึ้นมาได้

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

หมวดหมู่เครือข่ายสำคัญกว่าที่คนคาดคิด: อะแดปเตอร์อุโมงค์ที่สร้างใหม่และถูกจัดประเภทเป็นสาธารณะจะเปลี่ยนกฎที่ใช้บังคับ และผลลัพธ์อาจดูเหมือนการบล็อกของไฟร์วอลล์ที่ปลายทางไกล การพิมพ์เส้นทางแสดงว่ามีค่าเริ่มต้นอยู่หรือไม่ ซึ่งแยกปัญหานโยบายออกจากเส้นทางที่หายไป

จากนั้นทดสอบสามอย่างในการนั่งครั้งเดียว: อินเทอร์เน็ต โฮสต์ภายในหนึ่งเครื่องตามแอดเดรส และโฮสต์หนึ่งเครื่องผ่านอุโมงค์ การจับมือพิสูจน์เพียงว่าคีย์ตรงกัน ดังนั้นการทดสอบทั้งสามคือสิ่งที่แสดงนโยบาย หากโฮสต์ภายในยังปฏิเสธเมื่อเอาตัวเลือกออก ผู้ต้องสงสัยที่เหลือคือเส้นทาง รายการที่อนุญาตของปลายทางไกล และซับเน็ตที่ซ้ำกัน ตามลำดับนั้น