Favqulodda o'chirishmi yoki LAN kirishimi? WireGuard uchun ikki javob

Qo'l berish yakunlanadi, ko'rish ishlaydi, ammo printer, NAS va mahalliy SSH xostlar yo'qoladi. Windows mijozida bu odatda umuman marshrutlash nosozligi emas: ruxsat etilgan prefikslarida so'zma-so'z standart qiymat bo'lgan peer «Tunnel tashqarisidagi trafikni bloklash»ni yoqadi, va bu parametr boshqa har qanday interfeysdan chiqadigan paketlarni tashlaydigan tarmoq devori qoidalari sifatida amalga oshirilgan. Marshrutlar jadvali mahalliy sub tarmoqni hanuz to'g'ridan-to'g'ri ulanish sifatida ko'rsatadi, shuning uchun alomat yolg'ondek tuyuladi. Nima qilishni uch shart hal qiladi va ulardan faqat bittasi marshrutlashga tegishli.

Ikki nosozlik bir xil alomat keltiradi

Birinchi nosozlik — mijozning fail-closed rejimi, uning belgisi tunnel tashqarisidagi hamma narsa to'xtashi, tunnelning o'zi esa benuqson ishlashidir. Ikkinchisi — haqiqiy yetib borish muammosi: yo'q marshrut, mijoz orqasidagi sub tarmoq uchun serverda yo'q yozuv yoki bir xil manzil oralig'ini bo'lishadigan ikki tarmoq. Ikkalasi ham ko'rish mumkin, lekin chop eta olmaydigan mashina beradi va ularning tuzatishlari qarama-qarshi, shuning uchun diagnostika sozlashdan oldin kelishi kerak.

Ajratib turuvchi kuzatuv — mahalliy sub tarmoq marshrutlar jadvalida hali bor-yo'qligi, unga ketayotgan trafik tashlanayotganda.

Uch shart javobni belgilaydi

Birinchidan, bu mashinaga fail-closed kerakmi? Javob ha bo'lsa, yiqilgan tunnel trafikni to'xtatishi kerak, uni jismoniy interfeysga qaytarishga yo'l qo'ymasdan, va bu talab mahalliy qulaylikdan ustun. Ikkinchidan, tunnel ishlab turganda mahalliy qurilmalar yetib borish mumkin bo'lib qolishi kerakmi? Chop etish, tarmoq xotirasi va mahalliy boshqaruv konsollari odatiy sabablar, va bular qonuniy talablar, kechirim so'raladigan istisnolar emas. Uchinchidan, profil standartni so'zma-so'z 0.0.0.0/0 sifatida ifodalaydimi? Aynan shu tafsilot mijoz qoidalarini ishga tushiradi va uni tahrirlash mumkin.

Profilga tegishdan oldin bu uchtasiga yozma javob bering, chunki har bir javob boshqa sozlamaga ishora qiladi.

fail-closed ni tanlang va LANdan voz keching

Agar oqish mahalliy yetib borishdan muhimroq bo'lsa, so'zma-so'z standartni saqlang va «Tunnel tashqarisidagi trafikni bloklash»ni yoqilgan holda qoldiring. Bu izchil pozitsiya: mashina tunnel ichida yoki oflayn bo'lgan qurilma sifatida ko'riladi va mahalliy xizmatlarga boshqa qurilmadan yoki server ularni marshrutlasa tunnel orqali yetib boriladi. Xarajat haqiqiy va u joylashtirish eslatmalarida ko'rsatilishi kerak, chop etishi kerak bo'lgan odam o'zi topishidan ko'ra.

Tunnel yiqilganda kafe tarmog'ida ko'rinmasligi kerak bo'lgan ish bilan shug'ullanadigan mashinalar uchun bu to'g'ri tanlov. Skaner ham kerak bo'lgan uy noutbuki uchun esa bu yomon standart.

LAN kirishini tanlang va standartni boshqacha ifodalang

Mahalliy qurilmalar yetib borish mumkin bo'lib qolishi kerak bo'lsa, xuddi shu qamrovni so'zma-so'z standart prefiksisiz ifodalang. Ikki yarim prefiks har bir IPv4 manzilni qamrab oladi, ekvivalent juftlik IPv6ni qamrab oladi va mijoz endi bloklovchi qoidalarni kiritmaydi, chunki u izlayotgan satr yo'q.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

O'sha belgini olib tashlash mijozni xuddi shu ikki juftlikni profilga yozishga majbur qiladi, shuning uchun yaratilgan faylni yuqoridagi blok bilan solishtirish mexanizmni taxmin qilish o'rniga tasdiqlashning tez yo'lidir. Bundan ikki natija kelib chiqadi. Qamrov bir xil, shuning uchun tunnelda boshqa hech narsa o'zgarmaydi. Himoya bir xil emas: qoidalar ketgach, yiqilgan tunnel mashinani jismoniy interfeysida qoldiradi va fail-closed aynan shuni oldini olardi.

Qolgan ikki gumondorni ham tekshiring

Tarmoq devori masalasi hal bo'lgach, mahalliy sub tarmoq haqiqatan marshrutlanayotganini va uzoq tomon bu mijoz orqasidagi hamma narsani bilishini tasdiqlang. Mijoz orqasidagi LANga yetishi kerak bo'lgan serverga hubdagi mijozning ruxsat etilgan ro'yxatida o'sha prefiks kerak; uni tashlab ketsangiz, hub bu manzillar uchun peerni tanlay olmaydi va hech qanday mijoz sozlamasi uni yaratmaydi.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Tarmoq toifasi odamlar kutganidan muhimroq: yangi yaratilgan tunnel adapteri ommaviy deb tasniflansa, unga qaysi qoidalar tatbiq etilishi o'zgaradi va natija uzoq tomonda tarmoq devori blokiga o'xshab ko'rinishi mumkin. Marshrutlar chop etilishi standart umuman bor-yo'qligini ko'rsatadi, bu siyosat muammosini yo'q marshrutdan ajratadi.

So'ng bitta o'tirishda uch narsani sinab ko'ring: internetni, manzil bo'yicha bitta mahalliy xostni va tunnel orqali bitta xostni. Qo'l berish faqat kalitlar mos kelishini isbotlaydi, shuning uchun siyosatni aynan uch test ko'rsatadi. Agar parametr olib tashlangandan keyin ham mahalliy xost rad etsa, qolgan gumondorlar marshrut, uzoq tomonning ruxsat etilgan ro'yxati va takrorlangan sub tarmoq, shu tartibda.