عزل عملاء Wi-Fi مقابل الوصول المحلي عبر VPN: ما الذي يحجبك

ضع هاتفين على شبكة ضيوف واحدة ولن يرى أحدهما الآخر، ومع ذلك يصل كلاهما إلى الإنترنت. أضف عميل VPN على أحدهما، فيبقى الطابعة التي تبعد ثلاثة أمتار غير مرئية بينما يستجيب خادم على قارة أخرى لطلبات ping. لا شيء معطّل في النفق؛ هناك قراران منفصلان للوصول، وواحد فقط منهما يتعلق بالتوجيه. تحدد نقطة الوصول ما إذا كان يمكن للعملاء اللاسلكيين التحدث مع بعضهم، ويحدد عميل VPN الوجهات التي تخرج عبر النفق. الخلط بين هذين القرارين ينتج ساعات من تغييرات التكوين العقيمة.

البوابتان مستقلتان

عزل العملاء قرار تبديل. تقبل نقطة الوصول إطاراً من محطة مرتبطة، وتنظر إلى الوجهة، وتلاحظ أن الوجهة محطة أخرى على الجسر نفسه، فتُسقطه. عنوان IP للمحطة لا علاقة له بذلك القرار، ولا الـ VPN كذلك.

التوجيه قرار مختلف يُتخذ على العميل. يحدد جدول توجيه الـ VPN ما إذا كانت حزمة متجهة إلى 192.168.1.50 تدخل النفق أو تخرج عبر واجهة Wi-Fi. إذا خرجت الحزمة عبر Wi-Fi وكانت نقطة الوصول تعزل العملاء، فإنها تموت عند نقطة الوصول. وإذا دخلت الحزمة النفق، فلن ترى نقطة الوصول الوجهة الأصلية أبداً ولا تستطيع عزل أي شيء.

ما يعزله العزل على نقطة وصول نموذجية

تطلق الشركات هذا تحت أسماء عدة: عزل العملاء، أو عزل نقطة الوصول، أو عزل المحطات، أو شبكة ضيوف تنطوي عليه ضمنياً. في OpenWrt يكون الخيار الخاص بكل واجهة هو isolate داخل تكوين الشبكة اللاسلكية، كما هو موضح في وثائق الشبكة اللاسلكية، وعادة ما تحصل شبكة الضيوف على جسرها ومنطقة الجدار الناري الخاصة بها. والأثر هو أن إطارات unicast بين العملاء لا تُجسر، لذا يفشل ping أو اتصال SMB أو مهمة طباعة إلى جهاز مجاور رغم أن الجهازين يُظهران إشارة كاملة.

تعاني بروتوكولات الاكتشاف أولاً وأكثر من غيرها. يبث mDNS الخاص بالطابعات وأجهزة الوسائط عبر multicast إلى 224.0.0.251، ويستخدم SSDP العنوان 239.255.255.250، ويعتمد عبور تلك الإطارات للجسر على المورّد وعلى ما إذا كان تحويل multicast إلى unicast مُفعّلاً. غياب جهاز من قائمة دليل أضعف من فشل اتصال مباشر بعنوان معروف.

ما يغيّره الـ VPN، وما لا يمكنه تغييره

يأخذ النفق الكامل المسار الافتراضي، لذا لا تُبلغ الشبكات الفرعية المحلية إلا إذا أبقى العميل مساراً أكثر تحديداً لها. أما الأنفاق المنقسمة فتفعل العكس وتحافظ على الوصول المحلي بحكم التصميم. لا يمكن لأي من الإعدادين أن يجعل نقطة وصول عازلة تمرر إطاراً بين عميلين لها، ولهذا فإن السماح بالمرور المحلي في عميل VPN ضروري لكنه غير كافٍ.

الحالة المعاكسة شائعة بالقدر نفسه. تسمح نقطة الوصول بمرور الأقران، ويستثني عميل VPN الشبكة الفرعية المحلية من النفق، ومع ذلك لا تستجيب الطابعة لأن جدار الحماية على المضيف يعامل شبكة Wi-Fi كشبكة عامة. ثلاث طبقات، وثلاثة إعدادات افتراضية مختلفة، والمسار وحده هو المرئي في معظم سجلات VPN.

حدّد البوابة المغلقة

ابدأ باختبار يُخرج الـ VPN من الصورة: صل جهازين عاديين بالشبكة نفسها وحاول الوصول من أحدهما إلى الآخر بالعنوان. إذا فشل ذلك، فنقطة الوصول تعزل، ولن يصلح أي إعداد VPN ذلك. وإذا نجح، فانتقل إلى العميل وشغّل ip route get 192.168.1.50 على Linux أو Find-NetRoute -RemoteIPAddress 192.168.1.50 على Windows؛ يسمّي الناتج الواجهة التي ستستخدمها الحزمة.

عندما يشير المسار إلى واجهة Wi-Fi، تخرج الحزمة غير مشفرة، ويصبح السؤال هل تسمح نقطة الوصول وجدار الحماية على المضيف بذلك. وعندما يشير المسار إلى النفق، فأنت ترسل الوجهة إلى خادم VPN، وهذا خطأ لجهاز على الشبكة المحلية نفسها ويعني عادة أن قائمة المسموح في النفق واسعة جداً.

الاتصال المباشر بمنفذ الطابعة اختبار أفضل من قائمة اكتشاف. nc -vz 192.168.1.50 9100 على Linux أو Test-NetConnection 192.168.1.50 -Port 9100 في PowerShell يخبرك ما إذا كان العنوان قابلاً للوصول أصلاً، قبل أن يدخل أي اقتران على مستوى التطبيق في النقاش.

اختر الإصلاح المناسب للشبكة التي أنت عليها

على شبكة فندق أو ضيوف، العزل متعمّد ولا ينبغي أن تحاول التغلب عليه. تعامل مع الجهاز المحلي كغير قابل للوصول، واستخدم الـ VPN للوصول إلى مضيف يمكنه الطباعة أو المشاركة، وكفّ عن التعامل مع SSID كشبكة محلية.

في المنزل، تعطيل العزل على الشبكة الرئيسية معقول عندما تكون الأجهزة ملكك، بينما تبقى شبكة الضيوف معزولة. الإعداد موجود في تكوين الشبكة اللاسلكية لنقطة الوصول، وهو ينتمي إلى هناك لا إلى استثناءات جدار الحماية على كل عميل.

في المكتب، افترض أن نقطة الوصول والـ VLAN وجدار الحماية على المضيف كلها متعمدة. صعّد مع نتائج الاختبار بدلاً من طلب إيقاف العزل، لأن الشبكة التي تفصل العملاء تحمي شيئاً عادة.

تحقق من التطبيق، لا من ping فقط

نجاح ping يثبت المسار لا الخدمة. غالباً ما تقبل الطابعات 9100 الخام أو IPP على 631 لكنها ترفض الاكتشاف، ويحتاج مشاركة الملفات إلى 445 مع تحليل أسماء عامل. أكّد المنفذ الذي يستخدمه التطبيق، ثم أعد محاولة المهمة الفعلية على الجهاز.

أبقِ الطبقتين منفصلتين في ملاحظاتك: ما تسمح به شبكة Wi-Fi، وما يوجّهه الـ VPN. في المرة القادمة التي يختفي فيها جهاز من قائمة، سيدلك هذا الفصل على مكان البحث أولاً.