Huissegment slegs vir VPN: blokkeer die terugval, nie net die SSID nie
'n Gass-SSID op die VPN maak dit nie slegs-VPN nie. Besluit wat gebeur wanneer die tonnel val, dek IPv6, en toets die onderbreking voordat jy die etiket vertrou.
Jy sit die gas-SSID op die VPN en noem die segment slegs-VPN. Dan val die tonnel vir twee minute en die toestelle keer stilweg terug na die gewone WAN. Niks in die SSID se naam het dit verhoed nie. 'n Slegs-VPN-segment word bepaal deur wat gebeur wanneer die tonnel onbeskikbaar is, nie deur die netwerk se etiket nie.
Die etiket is 'n belofte; die terugvalbeleid is die afdwinging.
Mite: die SSID is die grens
'n SSID sonder sy eie aanstuurbeleid is net 'n naam. Die grens is 'n aparte koppelvlak, VLAN of subnet, met sy eie DHCP-omvang en sy eie reëls. 'n VLAN gee jou 'n aansturgrens wat 'n Wi-Fi-naam nie kan gee nie.
Kliënt-isolasie hoort ook in die ontwerp. Twee toestelle op die segment mag dalk met mekaar moet praat, of dalk nie, en daardie keuse moet eksplisiet wees eerder as om van 'n gasprofiel geërf te word.
Skryf die segment se koppelvlak en adresreeks neer voordat jy 'n enkele reël skryf. Daardie een reël verhoed die meeste van die latere verwarring.
Mite: die tonnelroete dek elke protokol
Pas die firmware se beleid op daardie segment toe sodat sy internetgerigte verkeer die tonnel gebruik. Stel die afgeleë aanstuur en vertaling op wat die tonnel vereis. Hou net die plaaslike hulptoegang wat die segment werklik nodig het.
Kontroleer beide adresfamilies. As IPv6 nie deur die tonnel gedra word nie, moet die beleid dit hanteer, of 'n IPv6-geskikte toestel sal 'n direkte roete vind wat jy nie bedoel het nie.
'n Slegs-IPv4-uitvalskakelaar met IPv6 geaktiveer is 'n algemene manier om te lek. Toets met 'n IPv6-geskikte kliënt, nie net met die skootrekenaar wat jy byderhand het nie.
Mite: DNS en die tonnel-eindpunt volg die tonnel
Roeteerder-DNS kan plaaslik gegenereer word en die roeteerder se eie roetetabel volg, nie die segment se beleid nie. Besluit watter pad daardie oplosser moet gebruik en wat dit doen wanneer die tonnel faal. Die VPN se eie eindpuntverbinding is nog 'n uitsondering: dit het die gedokumenteerde buitenste roete na die eweknie nodig. Stuur daardie verbinding in die tonnel in en dit kan nie opkom nie.
Hou hersteladministrasie apart van die segment se internettoegang. As 'n gefaalde eweknie jou ook by die roeteerder uitsluit, het jy 'n tonnelonderbreking in 'n werfbesoek verander. Hou daardie toegang op 'n bestuursnetwerk, nie op die slegs-VPN-segment nie.
Wat maak dit werklik slegs-VPN
Blokkeer gewone WAN-aanstuur vir die segment wanneer die tonnel af is. Dit is daardie reël, nie die SSID nie, wat die etiket waar maak. Toets dit met onskadelike verkeer vanaf 'n toestel op die segment.
Voer drie kontroles uit: normale werking deur die tonnel, die toegelate falingstoets met die tonnel af, en herstel wanneer dit terugkom. Bevestig dat 'n ander huishoudelike segment deurgaans sy eie beoogde roete behou. Hou enige direkte uitsonderings gedokumenteer, anders verberg die etiket paaie wat jy nie meer onthou nie.
'n Kort rekord van die segment, die gekose tonnel en die uitsonderings gee jou spesifieke kontroles nadat 'n firmware-opdatering reëlorde of oplosser-gedrag verander. Die pfSense WireGuard-kliëntresep is 'n nuttige verwysing vir die tonnelkant, nie 'n plaasvervanger vir die segmentbeleid nie.