Emergency na switch o access sa LAN? Dalawang sagot para sa WireGuard

Nakukumpleto ang handshake, gumagana ang pagba-browse, at naglalaho ang printer, NAS at mga lokal na SSH host. Sa Windows client ito ay karaniwang hindi talaga pagkabigo ng routing: ang isang peer na ang mga pinapayagang prefix ay may literal na default ay nagpapagana ng Harangin ang trapikong labas ng tunnel, at ang opsyong iyon ay ipinatutupad bilang mga tuntunin ng firewall na nagtatapon ng mga packet na lumalabas sa anumang ibang interface. Nakalista pa rin ang lokal na subnet sa talahanayan ng ruta bilang direktang koneksyon, kaya parang kasinungalingan ang sintomas. Tatlong kondisyon ang nagpapasya kung ano ang gagawin, at isa lang sa kanila ang tungkol sa routing.

Dalawang pagkabigo ang may isang sintomas

Ang unang pagkabigo ay ang fail-closed na mode ng client, at ang tanda nito ay tumitigil ang lahat sa labas ng tunnel habang perpektong gumagana ang tunnel mismo. Ang pangalawa ay tunay na problema sa maabot: nawawalang ruta, nawawalang entry sa server para sa subnet sa likod ng client, o dalawang network na nagbabahagi ng parehong hanay ng address. Pareho silang nagbubunga ng makinang nakakapag-browse at hindi nakakapag-print, at magkasalungat ang kanilang mga lunas, kaya ang diagnosis ay dapat mauna sa configuration.

Ang natatanging obserbasyon ay kung naroon pa rin ang lokal na subnet sa talahanayan ng ruta habang itinatapon ang trapiko patungo rito.

Tatlong kondisyon ang nagpapasya sa sagot

Una, kailangan ba ng fail-closed ng makinang ito? Kung oo ang sagot, dapat ihinto ng bumabagsak na tunnel ang trapiko sa halip na hayaang bumalik ito sa pisikal na interface, at ang pangangailangang iyon ay mas mabigat kaysa lokal na kaginhawahan. Pangalawa, dapat bang manatiling maabot ang mga lokal na device habang nakaup ang tunnel? Ang pag-print, imbakan sa network at mga lokal na console ng pamamahala ang karaniwang dahilan, at mga lehitimong pangangailangan ang mga ito, hindi mga eksepsiyon na hihingan ng paumanhin. Pangatlo, ipinapahayag ba ng profile ang default bilang literal na 0.0.0.0/0? Iyon mismong detalye ang nagpapagana ng mga tuntunin ng client, at nae-edit ito.

Sagutin ang tatlong iyon nang nakasulat bago hipuin ang isang profile, dahil ang bawat sagot ay tumuturo sa ibang configuration.

Piliin ang fail-closed at isuko ang LAN

Kung mas mahalaga ang pagtagas kaysa lokal na maabot, panatilihin ang literal na default at hayaang nakabukas ang Harangin ang trapikong labas ng tunnel. Ito ay isang magkakaugnay na posisyon: itinuturing ang makina bilang device na nasa loob ng tunnel o offline, at ang mga lokal na serbisyo ay naaabot mula sa ibang device o sa tunnel kung iruruta sila ng server. Totoong may halaga ito at dapat isulat sa mga tala ng deployment, sa halip na matuklasan ng taong kailangang mag-print.

Ito ang tamang pagpipilian para sa mga makinang gumagawa ng trabahong hindi dapat lumitaw sa isang network ng cafe kapag bumagsak ang tunnel. Masamang default ito para sa home laptop na kailangan din ang scanner.

Piliin ang access sa LAN at ipahayag ang default sa ibang paraan

Kung dapat manatiling maabot ang mga lokal na device, ipahayag ang parehong saklaw nang walang literal na default prefix. Sinasaklaw ng dalawang kalahating prefix ang bawat IPv4 address, sinasaklaw ng katumbas na pares ang IPv6, at hindi na naglalagay ang client ng mga tuntuning humaharang dahil wala ang string na hinahanap nito.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Ang pag-alis ng tsek na iyon ay nag-uudyok sa client na isulat ang parehong dalawang pares sa profile, kaya ang paghahambing ng nabuong file sa bloke sa itaas ay mabilis na paraan upang kumpirmahin ang mekanismo sa halip na hulaan ito. Dalawang kahihinatnan ang sumusunod. Magkapareho ang saklaw, kaya wala nang iba pang nagbabago sa tunnel. Hindi magkapareho ang proteksiyon: kapag wala na ang mga tuntunin, hinahayaan ng bumabagsak na tunnel ang makina na gamitin ang pisikal nitong interface, at iyon mismo ang pinipigilan ng fail-closed.

Suriin din ang dalawang iba pang pinaghihinalaan

Kapag naayos na ang usapin sa firewall, kumpirmahin na talagang niruruta ang lokal na subnet at alam ng malayong dulo ang lahat ng nasa likod ng client na ito. Ang server na kailangang maabot ang LAN sa likod ng client ay nangangailangan ng prefix na iyon sa pinapayagang listahan ng client sa hub; kung aalisin ito, hindi makakapili ang hub ng peer para sa mga address na iyon, at walang configuration ng client ang makakalikha nito.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Mas mahalaga ang kategorya ng network kaysa inaasahan ng mga tao: binabago ng bagong gawang tunnel adapter na inuri bilang pampubliko kung aling mga tuntunin ang naaangkop dito, at ang resulta ay maaaring magmukhang pagharang ng firewall sa malayong dulo. Ipinapakita ng print ng ruta kung may default man, na naghihiwalay ng problema sa patakaran mula sa nawawalang ruta.

Pagkatapos ay subukan ang tatlong bagay sa isang upuan: ang internet, isang lokal na host ayon sa address, at isang host sa kabila ng tunnel. Ang handshake ay nagpapatunay lamang na tugma ang mga key, kaya ang tatlong pagsubok ang nagpapakita ng patakaran. Kung tumatanggi pa rin ang lokal na host kapag inalis ang opsyong iyon, ang natitirang pinaghihinalaan ay ang ruta, ang pinapayagang listahan ng malayong dulo at ang doble na subnet, sa ganoong pagkakasunod-sunod.