Wi-Fi-toegangspunt agter 'n VPN-grendel: hou een LAN

Draadlose kliënte kan agter 'n VPN sit sonder dat die toegangspunt enigiets van die tonnel weet. Brug die radio na die grendel se LAN, laat die grendel adressering en die tonnel besit, en elke toestel op die Wi-Fi erf dieselfde beleid. Die alternatief, 'n tweede geroteerde segment met sy eie grendel, is 'n ander ontwerp met 'n ander foutmodus.

Die twee word verwar omdat albei 'n boks tussen die internet en jou toestelle plaas. Om te vergelyk wat elkeen besit, is die vinnigste manier om te kies.

Twee maniere om die VPN voor Wi-Fi te plaas

In 'n oorbrugde uitleg dra die toegangspunt net rame tussen die radio en die bedrade segment en niks anders nie: een subnet, een adresowerheid, een roeteerder wat die beleid toepas. In 'n geroteerde uitleg het die tweede boks sy eie adresse, sy eie DHCP-omvang en sy eie verstekroete, sodat verkeer nog 'n grens oorsteek voordat dit die tonnel bereik. Die oorbrugde ontwerp laat elke draadlose toestel plaaslik vir die grendel lyk, en daarom dek een stel reëls hulle almal. Die geroteerde ontwerp gee jou 'n segment om oor na te dink en 'n tweede plek waar beleid verkeerd kan gaan.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Kies oorbrug wanneer die vereiste is dat draadlose toestelle dieselfde tonnel as bedrade toestelle gebruik. Kies geroteer wanneer jy 'n segment wil hê wat geïsoleer kan word, of wanneer die tweede boks al as 'n roeteerder bestaan.

Wat die oorbrugde uitleg werklik verander

Oorbrugging verwyder 'n vertalingslaag en 'n mededingende verstekgrendel, en dit voeg 'n bestuursprobleem by. Die toegangspunt het steeds 'n adres nodig wat jy kan bereik, wat die verskaffer se werkstroom gewoonlik deur die hoof-LAN reël. Sy DHCP-diens moet af wees, anders sal twee owerhede botsende huurkontrakte uitdeel. Die grendel hou die tonnel, die oplosser-instellings en die besluit oor wat gebeur wanneer die tonnel val, so die beleid woon op presies een plek.

Die radio erf niks daarvan outomaties van die tonnel nie. Dit hou net op om lae by te voeg wat dit sou verberg.

Waar 'n tweede geroteerde segment pas

'n Geroteerde segment verdien sy kompleksiteit wanneer toestelle daaragter anders as die res van die LAN behandel moet word. 'n Gaskennisnetwerk, 'n laboratorium, of 'n stel kliënte wat altyd deur 'n bepaalde land moet uitgaan, is almal redes om 'n roeteerder in die pad te sit. Die koste is 'n tweede adresowerheid, 'n tweede firewall wat konsekwent gehou moet word, en 'n terugroete vanaf die hoof-LAN as iemand daar die segment moet bereik. Dit is verpligtinge eerder as konfigurasiedetails.

Die algemene fout is om die geroteerde weergawe per ongeluk te bou deur 'n roeteerder te hergebruik wat steeds sy eie DHCP en vertaling laat loop. Dit lewer dubbele vertaling en 'n beleid wat niemand kan naspeur nie.

Toets vanaf 'n Wi-Fi-kliënt, nie die grendel nie

'n Suksesvolle versoek op die grendel bewys die tonnel werk vir die grendel. Die werklike vraag is of 'n draadlose kliënt se deurgestuurde verkeer dit gebruik, en dit moet vanaf die kliënt waargeneem word. Die opdragte hieronder kontroleer die kliënt se adres, sy roete en die adres wat 'n afgeleë diens sien.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

'n Adres binne die grendel se LAN bevestig die brug stuur rame deur eerder as om dit te vertaal. 'n Roete waarvan die eerste sprong die grendel is, bevestig die kliënt het nie 'n tweede verstekroete van elders gekry nie. Die uitgangsadres-kontrole antwoord die werklike vraag, en die kort spoor wys of die eerste spronge die verwagte is. As die kliënt se adres uit 'n ander omvang kom, is 'n verdwaalde DHCP-bediener die eerste verdagte.

Skryf die rol van elke boks, sy adres en die DHCP-owerheid neer. 'n Diagram met drie lyne is genoeg, en dit besleg die meeste argumente oor waar 'n reël hoort.