شبكة منزلية للـ VPN فقط: عطّل مسار الرجوع، لا اسم SSID فقط

تضع SSID الخاص بالضيوف على الـ VPN وتسمّي الشبكة مخصصة للـ VPN فقط. ثم يسقط النفق دقيقتين فتعود الأجهزة بهدوء إلى WAN العادي. لم يمنع ذلك شيء في اسم SSID. إن الشبكة المخصصة للـ VPN فقط تُعرَّف بما يحدث عندما يكون النفق غير متاح، لا بتسمية الشبكة.

التسمية وعد، وسياسة الرجوع الاحتياطي هي التنفيذ.

خرافة: الـ SSID هو الحدّ

إن SSID بلا سياسة تمرير خاصة به ليس سوى اسم. الحدّ هو واجهة أو VLAN أو شبكة فرعية منفصلة، لها نطاق DHCP خاص بها وقواعدها الخاصة. يمنحك الـ VLAN حدّ تمرير لا يستطيع اسم Wi-Fi منحه.

عزل العملاء جزء من التصميم أيضًا. قد يحتاج جهازان على الشبكة إلى التحدث أحدهما مع الآخر، أو قد لا يحتاجان، وينبغي أن يكون ذلك الاختيار صريحًا لا موروثًا من ملف تعريف الضيوف.

اكتب واجهة الشبكة ونطاق عناوينها قبل أن تكتب قاعدة واحدة. هذا السطر الواحد يمنع معظم الالتباس لاحقًا.

خرافة: مسار النفق يغطي كل بروتوكول

طبّق سياسة البرنامج الثابت على تلك الشبكة كي يستخدم حركة المرور المتجهة إلى الإنترنت النفق. اضبط التمرير والترجمة البعيدين اللذين يحتاجهما النفق. أبقِ فقط الوصول إلى الموارد المحلية التي تحتاجها الشبكة فعلاً.

افحص عائلتي العناوين. إذا لم يُحمَل IPv6 عبر النفق، فعلى السياسة أن تتعامل معه، وإلا سيجد جهاز يدعم IPv6 مسارًا مباشرًا لم تقصده.

مفتاح إيقاف يعمل على IPv4 فقط مع تمكين IPv6 طريقة شائعة للتسريب. اختبره بعميل يدعم IPv6، لا بالحاسوب المحمول الذي بين يديك فقط.

خرافة: DNS ونقطة نهاية النفق يتبعان النفق

يمكن توليد DNS الموجّه محليًا وأن يتبع جدول التوجيه الخاص بالموجّه لا سياسة الشبكة. حدّد المسار الذي ينبغي أن يستخدمه ذلك المُحلِّل وما يفعله عندما يفشل النفق. اتصال نقطة نهاية الـ VPN نفسه استثناء آخر: يحتاج إلى المسار الخارجي الموثّق إلى النظير. وجّه ذلك الاتصال داخل النفق فلن يستطيع النهوض.

أبقِ إدارة الاستعادة منفصلة عن وصول الشبكة إلى الإنترنت. إذا حجب نظير فاشل وصولك إلى الموجّه أيضًا، فقد حوّلت انقطاع نفق إلى زيارة موقع. أبقِ ذلك الوصول على شبكة إدارة، لا على الشبكة المخصصة للـ VPN فقط.

ما الذي يجعلها مخصصة للـ VPN فقط فعلاً

احجب التمرير العادي عبر WAN عن الشبكة كلما كان النفق معطلاً. تلك القاعدة، لا الـ SSID، هي ما يجعل التسمية صحيحة. اختبرها بحركة مرور غير ضارة من جهاز على الشبكة.

نفّذ ثلاثة فحوص: التشغيل الطبيعي عبر النفق، واختبار الفشل المسموح مع تعطيل النفق، والاستعادة عند عودته. تأكد من أن شبكة منزلية أخرى تحتفظ بمسارها المقصود طوال الوقت. وثّق أي استثناءات مباشرة، وإلا فإن التسمية تخفي مسارات لم تعد تتذكرها.

سجل قصير للشبكة والنفق المختار والاستثناءات يمنحك فحوصًا محددة بعد أن يغيّر تحديث البرنامج الثابت ترتيب القواعد أو سلوك المُحلِّل. إن وصفة عميل WireGuard في pfSense مرجع مفيد لجانب النفق، وليست بديلاً عن سياسة الشبكة.