Ngắt khẩn cấp hay truy cập LAN? Hai câu trả lời cho WireGuard

Bắt tay hoàn tất, duyệt web chạy được, còn máy in, NAS và các máy chủ SSH cục bộ biến mất. Trên ứng dụng khách Windows, đây thường hoàn toàn không phải lỗi định tuyến: một peer có tiền tố được phép chứa giá trị mặc định nguyên văn sẽ bật Chặn lưu lượng ngoài đường hầm, và tuỳ chọn đó được hiện thực thành các quy tắc tường lửa loại bỏ gói tin đi ra qua bất kỳ giao diện nào khác. Bảng định tuyến vẫn liệt kê mạng con cục bộ là liên kết trực tiếp, nên triệu chứng có vẻ như một lời nói dối. Ba điều kiện quyết định nên làm gì, và chỉ một trong số đó liên quan đến định tuyến.

Hai lỗi cùng một triệu chứng

Lỗi thứ nhất là chế độ đóng khi lỗi của ứng dụng khách, dấu hiệu là mọi thứ bên ngoài đường hầm dừng lại trong khi bản thân đường hầm vẫn chạy hoàn hảo. Lỗi thứ hai là vấn đề tiếp cận thực sự: thiếu tuyến đường, thiếu mục trên máy chủ cho mạng con phía sau ứng dụng khách, hoặc hai mạng dùng chung cùng một dải địa chỉ. Cả hai đều tạo ra máy duyệt được mà không in được, và cách sửa của chúng ngược nhau, nên chẩn đoán phải đến trước cấu hình.

Quan sát phân biệt là liệu mạng con cục bộ còn trong bảng định tuyến trong khi lưu lượng tới nó bị loại bỏ.

Ba điều kiện quyết định câu trả lời

Thứ nhất, máy này có cần đóng khi lỗi không? Nếu câu trả lời là có, đường hầm bị rớt phải dừng lưu lượng thay vì để nó quay về giao diện vật lý, và yêu cầu đó quan trọng hơn sự tiện lợi cục bộ. Thứ hai, các thiết bị cục bộ có phải vẫn tiếp cận được khi đường hầm đang bật không? In ấn, lưu trữ mạng và bảng điều khiển quản trị cục bộ là những lý do thường gặp, và đó là những yêu cầu chính đáng, không phải ngoại lệ phải xin lỗi. Thứ ba, hồ sơ có diễn đạt giá trị mặc định như 0.0.0.0/0 nguyên văn không? Chính chi tiết đó kích hoạt các quy tắc của ứng dụng khách, và nó có thể chỉnh sửa.

Hãy trả lời ba câu đó bằng văn bản trước khi chạm vào hồ sơ, vì mỗi câu trả lời chỉ tới một cấu hình khác nhau.

Chọn đóng khi lỗi và bỏ LAN

Nếu rò rỉ quan trọng hơn khả năng tiếp cận cục bộ, hãy giữ giá trị mặc định nguyên văn và để Chặn lưu lượng ngoài đường hầm bật. Đó là một lập trường nhất quán: máy được coi là thiết bị hoặc ở trong đường hầm hoặc ngoại tuyến, và các dịch vụ cục bộ được tiếp cận từ thiết bị khác hoặc qua đường hầm nếu máy chủ định tuyến chúng. Cái giá là có thật và nên được nêu trong ghi chú triển khai, thay vì để người cần in tự phát hiện.

Đây là lựa chọn đúng cho những máy xử lý công việc không được xuất hiện trên mạng quán cà phê khi đường hầm rớt. Đây là giá trị mặc định tồi cho máy tính xách tay ở nhà vốn cũng cần máy quét.

Chọn truy cập LAN và diễn đạt giá trị mặc định cách khác

Nếu các thiết bị cục bộ phải tiếp cận được, hãy diễn đạt cùng độ phủ đó mà không có tiền tố mặc định nguyên văn. Hai nửa tiền tố bao phủ mọi địa chỉ IPv4, cặp tương đương bao phủ IPv6, và ứng dụng khách không còn chèn các quy tắc chặn vì chuỗi mà nó tìm không có.

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

Bỏ chọn ô đó khiến ứng dụng khách ghi cùng hai cặp vào hồ sơ, nên so sánh tệp được tạo với khối ở trên là cách nhanh để xác nhận cơ chế thay vì đoán về nó. Hai hệ quả kéo theo. Độ phủ giống hệt, nên không gì khác ở đường hầm thay đổi. Bảo vệ không giống hệt: khi các quy tắc biến mất, một đường hầm rớt để máy dùng giao diện vật lý của nó, và đó chính là điều đóng khi lỗi ngăn chặn.

Kiểm tra hai nghi phạm còn lại

Khi câu hỏi tường lửa đã rõ, hãy xác nhận rằng mạng con cục bộ thực sự được định tuyến và đầu xa biết mọi thứ phía sau ứng dụng khách này. Máy chủ cần tới một LAN phía sau ứng dụng khách cần tiền tố đó trong danh sách được phép của ứng dụng khách trên hub; bỏ sót nó thì hub không thể chọn peer cho những địa chỉ ấy, và không cấu hình ứng dụng khách nào tạo ra được.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

Danh mục mạng quan trọng hơn người ta tưởng: một bộ điều hợp đường hầm mới tạo được phân loại là công cộng sẽ thay đổi quy tắc áp dụng cho nó, và kết quả có thể trông như tường lửa chặn ở đầu xa. Bản in tuyến đường cho biết có giá trị mặc định hay không, điều này tách vấn đề chính sách khỏi một tuyến đường bị thiếu.

Sau đó thử ba thứ trong một buổi: internet, một máy chủ cục bộ theo địa chỉ, và một máy chủ qua đường hầm. Bắt tay chỉ chứng minh khoá khớp nhau, nên chính ba phép thử mới thể hiện chính sách. Nếu máy chủ cục bộ vẫn từ chối khi đã bỏ tuỳ chọn, các nghi phạm còn lại là tuyến đường, danh sách được phép của đầu xa và mạng con trùng lặp, theo thứ tự đó.