Wi-Fi-kliëntisolasie teenoor plaaslike VPN-toegang: wat keer jou

Sit twee fone op dieselfde gas-SSID en nie een kan die ander sien nie, tog bereik albei die internet. Voeg 'n VPN-kliënt by een van hulle en die drukker drie meter verder bly onsigbaar terwyl 'n bediener op 'n ander vasteland op pings antwoord. Niks is in die tonnel stukkend nie; twee afsonderlike toegangsbesluite is ter sprake, en net een van hulle gaan oor roetering. Die toegangspunt besluit of draadlose kliënte met mekaar mag praat, en die VPN-kliënt besluit watter bestemmings deur die tonnel verlaat. Om dié twee te verwar lewer ure se nuttelose konfigurasiewysigings op.

Die twee hekke is onafhanklik

Kliëntisolasie is 'n skakelbesluit. Die toegangspunt aanvaar 'n raam van een geassosieerde stasie, kyk na die bestemming, merk dat die bestemming 'n ander stasie op dieselfde brug is, en laat dit val. Die stasie se IP-adres is onbelangrik vir dié besluit, en so ook die VPN.

Roetering is 'n ander besluit wat op die kliënt geneem word. Die VPN se roetebeeld besluit of 'n pakket vir 192.168.1.50 die tonnel binnegaan of deur die Wi-Fi-koppelvlak verlaat. As die pakket deur Wi-Fi verlaat en die toegangspunt isoleer kliënte, sterf dit by die AP. As die pakket die tonnel binnegaan, sien die AP nooit die oorspronklike bestemming nie en kan niks isoleer nie.

Wat isolasie op 'n tipiese toegangspunt keer

Vervaardigers lewer dit onder verskeie name: kliëntisolasie, AP-isolasie, stasie-isolasie, of 'n gasnetwerk wat dit impliseer. In OpenWrt is die per-koppelvlak-opsie isolate in die draadlose konfigurasie, soos beskryf in die draadlose dokumentasie, en 'n gas-SSID kry gewoonlik sy eie brug en vuurmuursone. Die effek is dat unicast-rame tussen kliënte nie oorbrug word nie, so 'n ping, 'n SMB-verbinding of 'n drukwerk aan 'n buurman misluk selfs al wys beide toestelle volle sein.

Ontdekkingsprotokolle ly eerste en die sigbaarste. mDNS vir drukkers en mediatoestelle ry multicast na 224.0.0.251, SSDP gebruik 239.255.255.250, en of dié rame die brug oorsteek hang van die vervaardiger af en van of multicast-na-unicast-omskakeling geaktiveer is. 'n Toestel wat uit 'n lys ontbreek is swakker bewyse as 'n mislukte direkte verbinding na 'n bekende adres.

Wat die VPN verander, en wat dit nie kan verander nie

'n Volle tonnel neem die verstekroete, so plaaslike subnetwerke word net bereik as die kliënt 'n meer spesifieke roete daarvoor hou. Gesplete tonnele doen die teenoorgestelde en bewaar plaaslike toegang per ontwerp. Nie een van dié instellings kan 'n isolerende AP dwing om 'n raam tussen twee van sy kliënte deur te stuur nie, en daarom is die toelaat van plaaslike verkeer in die VPN-kliënt nodig maar nie voldoende nie.

Die omgekeerde geval is net so algemeen. Die AP laat eweknie-verkeer toe, die VPN-kliënt sluit die plaaslike subnet van die tonnel uit, en die drukker antwoord steeds nie omdat die gasheer-vuurmuur die Wi-Fi-netwerk as publiek beskou. Drie lae, drie verskillende verstekke, en net die roete is in die meeste VPN-logs sigbaar.

Bepaal watter hek toe is

Begin met 'n toets wat die VPN uit die prentjie haal: verbind twee gewone toestelle aan dieselfde SSID en probeer die een van die ander af per adres bereik. As dit misluk, isoleer die AP en geen VPN-instelling sal dit regmaak nie. As dit slaag, gaan na die kliënt en voer ip route get 192.168.1.50 op Linux uit of Find-NetRoute -RemoteIPAddress 192.168.1.50 op Windows; die uitset noem die koppelvlak wat die pakket sal gebruik.

Wanneer die roete na die Wi-Fi-koppelvlak wys, verlaat die pakket onversleuteld en die vraag word of die AP en die gasheer-vuurmuur dit toelaat. Wanneer die roete na die tonnel wys, word die bestemming na die VPN-bediener gestuur, wat verkeerd is vir 'n toestel op dieselfde LAN en gewoonlik beteken die tonnel se toegelaat-lys is te breed.

'n Direkte verbinding na die drukker se poort is 'n beter toets as 'n ontdekkingslys. nc -vz 192.168.1.50 9100 op Linux of Test-NetConnection 192.168.1.50 -Port 9100 in PowerShell sê vir jou of die adres hoegenaamd bereikbaar is, voordat enige toepassingsvlak-paring ter sprake kom.

Kies die regstelling vir die netwerk waarin jy is

Op 'n hotel- of gasnetwerk is isolasie doelbewus en jy moet nie probeer om dit te verydel nie. Beskou die plaaslike toestel as onbereikbaar, gebruik die VPN om 'n gasheer te bereik wat kan druk of deel, en hou op om die SSID as 'n LAN te behandel.

Tuis is die afskakel van isolasie op die hoof-SSID redelik wanneer die toestelle joune is, terwyl die gas-SSID geïsoleer bly. Die instelling woon in die AP se draadlose konfigurasie, en dit hoort daar eerder as in vuurmuur-uitsonderings op elke kliënt.

In 'n kantoor moet jy aanneem die AP, die VLAN en die gasheer-vuurmuur is alles doelbewus. Eskaleer met die toetsresultate eerder as om te vra dat isolasie afgeskakel word, want 'n netwerk wat kliënte skei beskerm gewoonlik iets.

Verifieer die toepassing, nie net die ping nie

'n Geslaagde ping bewys die pad, nie die diens nie. Drukkers aanvaar dikwels rou 9100 of IPP op 631 maar weier ontdekking, en 'n lêerdeling het 445 nodig plus werkende naamoplossing. Bevestig die poort wat die toepassing gebruik, en probeer dan die werklike taak op die toestel weer.

Hou die twee lae apart in jou notas: wat die Wi-Fi-netwerk toelaat, en wat die VPN roeteer. Die volgende keer dat 'n toestel uit 'n lys verdwyn, sê dié skeiding vir jou waar om eerste te kyk.