نقطة وصول Wi-Fi خلف بوابة VPN: حافظ على شبكة محلية واحدة

يمكن أن يجلس عملاء الشبكة اللاسلكية خلف VPN من دون أن تعرف نقطة الوصول شيئًا عن النفق. اجعل الراديو جسرًا إلى الشبكة المحلية للبوابة، ودع البوابة تملك العنونة والنفق، فيرث كل جهاز على Wi-Fi السياسة نفسها. البديل، وهو مقطع موجَّه ثانٍ ببوابته الخاصة، تصميم مختلف بنمط فشل مختلف.

يختلط الأمر بين الاثنين لأن كليهما يضع صندوقًا بين الإنترنت وأجهزتك. ومقارنة ما يملكه كل منهما أسرع طريق للاختيار.

طريقتان لوضع VPN أمام Wi-Fi

في التصميم الجسري تحمل نقطة الوصول الإطارات بين الراديو والمقطع السلكي ولا شيء غير ذلك: شبكة فرعية واحدة، وسلطة عناوين واحدة، وموجّه واحد ينفّذ السياسة. في التصميم الموجَّه يكون للصندوق الثاني عناوينه الخاصة ونطاق DHCP الخاص به ومساره الافتراضي الخاص، فتعبر حركة المرور حدًّا آخر قبل أن تصل إلى النفق. التصميم الجسري يجعل كل جهاز لاسلكي يبدو محليًا بالنسبة إلى البوابة، ولهذا تغطيه مجموعة واحدة من القواعد. أما التصميم الموجَّه فيمنحك مقطعًا يمكن التفكير فيه ومكانًا ثانيًا يمكن أن تفسد فيه السياسة.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

اختر الجسري عندما يكون الشرط أن تستخدم الأجهزة اللاسلكية النفق نفسه الذي تستخدمه الأجهزة السلكية. واختر الموجَّه عندما تريد مقطعًا قابلًا للعزل، أو عندما يكون الصندوق الثاني موجودًا أصلًا كموجّه.

ما يغيّره التصميم الجسري فعليًا

الجسر يزيل طبقة ترجمة وبوابة افتراضية منافسة، ويضيف مشكلة إدارة. ما تزال نقطة الوصول بحاجة إلى عنوان يمكنك الوصول إليه، وهو ما يرتّبه سير عمل المورّد عادة عبر الشبكة المحلية الرئيسية. ويجب أن تكون خدمة DHCP فيها متوقفة، وإلا وزّعت سلطتان عقود إيجار متعارضة. وتحتفظ البوابة بالنفق وإعدادات المحلّل وقرار ما يحدث عند سقوط النفق، فتعيش السياسة في مكان واحد بالضبط.

الراديو لا يرث أيًّا من ذلك تلقائيًا من النفق. هو فقط يتوقف عن إضافة طبقات تحجبه.

أين يناسب المقطع الموجَّه الثاني

يستحق المقطع الموجَّه تعقيده عندما تحتاج الأجهزة التي خلفه إلى معاملة مختلفة عن بقية الشبكة المحلية. فشبكة الضيوف، أو المختبر، أو مجموعة عملاء يجب أن تخرج دائمًا عبر بلد معيّن، كلها أسباب لوضع موجّه في المسار. والثمن هو سلطة عناوين ثانية، وجدار حماية ثانٍ يجب الحفاظ على اتساقه، ومسار عودة من الشبكة المحلية الرئيسية إن احتاج أحد هناك إلى الوصول إلى المقطع. وهذه التزامات لا تفاصيل إعداد.

الخطأ الشائع هو بناء النسخة الموجَّهة عن غير قصد، بإعادة استخدام موجّه ما يزال يشغّل DHCP والترجمة الخاصين به. وهذا ينتج ترجمة مزدوجة وسياسة لا يستطيع أحد تتبّعها.

اختبر من عميل Wi-Fi، لا من البوابة

طلب ناجح على البوابة يثبت أن النفق يعمل للبوابة. السؤال الحقيقي هو هل تستخدمه حركة المرور المُمرَّرة لعميل لاسلكي، وهذا يجب أن يُلاحَظ من العميل. الأوامر أدناه تفحص عنوان العميل ومساره والعنوان الذي تراه خدمة بعيدة.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

عنوان داخل الشبكة المحلية للبوابة يؤكد أن الجسر يمرّر الإطارات بدلًا من ترجمتها. ومسار أول قفزة فيه هو البوابة يؤكد أن العميل لم يحصل على مسار افتراضي ثانٍ من مكان آخر. وفحص عنوان الخروج يجيب عن السؤال الفعلي، ويُظهر التتبّع القصير هل القفزات الأولى هي المتوقعة. وإذا جاء عنوان العميل من نطاق مختلف، فخادم DHCP شارد هو المشتبه الأول.

سجّل دور كل صندوق وعنوانه وسلطة DHCP. رسم تخطيطي بثلاثة أسطر يكفي، ويحسم معظم الجدل حول موضع أي قاعدة.