Acil durdurma mı LAN erişimi mi? WireGuard için iki yanıt

El sıkışma tamamlanır, tarama çalışır, ancak yazıcı, NAS ve yerel SSH ana makineleri kaybolur. Windows istemcisinde bu genellikle hiç de yönlendirme hatası değildir: izin verilen önekleri gerçek varsayılanı içeren eş, Tünel dışındaki trafiği engelle seçeneğini etkinleştirir ve bu seçenek, başka herhangi bir arabirimden çıkan paketleri atan güvenlik duvarı kuralları olarak uygulanır. Yönlendirme tablosu yerel alt ağı hâlâ doğrudan bağlantı olarak listeler, bu yüzden belirti yalan gibi gelir. Ne yapılacağına üç koşul karar verir ve bunlardan yalnızca biri yönlendirmeyle ilgilidir.

İki arıza aynı belirtiyi taşır

İlk arıza istemcinin fail-closed kipidir ve belirtisi, tünelin kendisi kusursuz çalışırken tünel dışındaki her şeyin durmasıdır. İkincisi gerçek bir erişilebilirlik sorunudur: eksik bir yol, istemcinin arkasındaki bir alt ağ için sunucuda eksik bir kayıt ya da aynı adres aralığını paylaşan iki ağ. İkisi de tarayabilen ve yazdıramayan bir makine üretir ve düzeltmeleri birbirine zıttır, bu yüzden tanı yapılandırmadan önce gelmelidir.

Ayırt edici gözlem, o alt ağa giden trafik atılırken yerel alt ağın hâlâ yönlendirme tablosunda olup olmadığıdır.

Üç koşul yanıtı belirler

Birincisi, bu makine fail-closed gerektiriyor mu? Yanıt evetse, düşen bir tünel trafiği fiziksel arabirime geri bırakmak yerine durdurmalıdır ve bu gereksinim yerel rahatlıktan daha ağır basar. İkincisi, tünel açıkken yerel aygıtlar erişilebilir kalmalı mı? Yazdırma, ağ depolaması ve yerel yönetim konsolları olağan nedenlerdir ve bunlar meşru gereksinimlerdir, özür dilenecek istisnalar değil. Üçüncüsü, profil varsayılanı gerçek 0.0.0.0/0 olarak mı ifade ediyor? İstemcinin kurallarını tetikleyen tam olarak bu ayrıntıdır ve düzenlenebilir.

Bir profile dokunmadan önce bu üçünü yazılı olarak yanıtlayın, çünkü her yanıt farklı bir yapılandırmaya işaret eder.

fail-closed seçin ve LAN'dan vazgeçin

Sızıntı yerel erişilebilirlikten daha önemliyse, gerçek varsayılanı koruyun ve Tünel dışındaki trafiği engelle seçeneğini açık bırakın. Bu tutarlı bir konumdur: makine, tünelin içinde ya da çevrimdışı olan bir aygıt olarak ele alınır ve yerel hizmetlere başka bir aygıttan ya da sunucu onları yönlendiriyorsa tünel üzerinden erişilir. Maliyet gerçektir ve yazdırması gereken kişinin keşfetmesi yerine dağıtım notlarında belirtilmelidir.

Bu, tünel düştüğünde bir kafe ağında görünmemesi gereken işlerle uğraşan makineler için doğru seçimdir. Tarayıcıya da ihtiyaç duyan ev dizüstü bilgisayarı için kötü bir varsayılandır.

LAN erişimini seçin ve varsayılanı başka türlü ifade edin

Yerel aygıtlar erişilebilir kalmalıysa, aynı kapsamı gerçek varsayılan öneki olmadan ifade edin. İki yarım önek her IPv4 adresini kapsar, eşdeğer çift IPv6'yı kapsar ve istemci artık aradığı dizi bulunmadığı için engelleyici kuralları eklemez.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Bu onay kutusunu kaldırmak, istemcinin aynı iki çifti profile yazmasını sağlar, bu nedenle oluşturulan dosyayı yukarıdaki blokla karşılaştırmak, mekanizmayı tahmin etmek yerine doğrulamanın hızlı bir yoludur. İki sonuç çıkar. Kapsam aynıdır, bu yüzden tünelde başka hiçbir şey değişmez. Koruma aynı değildir: kurallar gittiğinde, düşen bir tünel makineyi fiziksel arabiriminde bırakır ve fail-closed tam olarak bunu önlüyordu.

Diğer iki şüpheliyi de kontrol edin

Güvenlik duvarı sorusu çözüldükten sonra, yerel alt ağın gerçekten yönlendirildiğini ve uzak ucun bu istemcinin arkasındaki her şeyi bildiğini doğrulayın. Bir istemcinin arkasındaki LAN'a ulaşması gereken sunucunun, merkezdeki istemcinin izin verilen listesinde bu öneke ihtiyacı vardır; onu atlarsanız merkez bu adresler için bir eş seçemez ve hiçbir istemci yapılandırması bir tane oluşturmaz.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Ağ kategorisi insanların beklediğinden daha önemlidir: yeni oluşturulan ve genel olarak sınıflandırılan bir tünel bağdaştırıcısı, hangi kuralların ona uygulandığını değiştirir ve sonuç uzak uçta bir güvenlik duvarı engellemesi gibi görünebilir. Yol çıktısı, bir varsayılanın olup olmadığını gösterir; bu da politika sorununu eksik bir yoldan ayırır.

Ardından tek oturumda üç şeyi test edin: interneti, adrese göre bir yerel ana makineyi ve tünel üzerinden bir ana makineyi. El sıkışma yalnızca anahtarların eşleştiğini kanıtlar, bu yüzden politikayı gösteren üç testtir. Seçenek kaldırıldığında yerel ana makine hâlâ reddederse, kalan şüpheliler yönlendirme, uzak ucun izin verilen listesi ve yinelenen alt ağdır, bu sırayla.