Qonaq Wi-Fi əsas marşrutu istifadə etməyə davam edir: ona öz çıxışını verin

Qonaq şəbəkəsi yaratdınız, ona marşrut əlavə etdiniz, amma qonaqlar hələ də adi internet bağlantınızdan çıxır. Tunel işləyir, əsas LAN işləyir və qonaq cihazları təyin etdiyiniz aralıqda ünvan bildirir, yəni heç nə pozulmuş görünmür. Çatışmayan adətən marşrut deyil, seçicidir: marşrutlaşdırıcı paketin hansı interfeysdən gəldiyini nəzərə almazdan əvvəl yolu qərarlaşdırır və açıq şəkildə qonaq trafikinə uyğun gələn bir şey olmasa, bu trafik standartı miras alır. Düzəliş seqment, siyasət qaydası və cavab yoludur, bu sıra ilə.

Simptom: qonaqlar hələ də WAN-dan çıxır

Əlamət çıxış ünvanıdır. Tunel vasitəsilə internete çatan qonaq cihazı tunel provayderinin ünvanını bildirəcək, standartı miras almış cihaz isə adi bağlantınızı bildirəcək. Qonaq cihazı ilə əsas LAN cihazını yan-yana müqayisə edin, çünki maraqlı hal onların sizin qurduğunuzdan fərqlənməsi və bir-biri ilə üst-üstə düşməsidir.

İkinci əlamət qonaqlar gəzərkən tunel interfeysində heç bir trafikin olmamasıdır. Sayğaclar tərpənmirsə, siyasət heç vaxt tətbiq olunmayıb və tunelin özünü tənzimləmək kömək edə bilməz.

Addım 1: yalnız ad deyil, real seqment

SSID adı təcrid yaratmır. Qonaq şəbəkəsinin öz interfeysində, VLAN-da və ya körpüdə bitdiyini və ünvan aralığının etibarlı LAN-dan fərqli olduğunu yoxlayın. Bir çox istehlakçı giriş nöqtəsində qonaq SSID başqa hər şeylə eyni seqmentə körpülənir və bu düzəldilməyincə işin qalan hissəsi mümkünsüz olur.

Sonra qonaq aralığını və onun DHCP serverini təsdiqləyin, həlledici parametrlərini bütün marşrutlaşdırıcıya deyil, həmin seqmentə bağlayın. Yalnız firewall qaydasında şərh kimi mövcud olan qonaq alt şəbəkəsi seqment deyil və marşrutlaşdırıcının uyğunlaşdıracaq interfeysi olmayacaq.

VPN-i qurmağı asanlaşdırmaq üçün qonaqları əsas LAN-a körpüləməyin. Bu, istədiyiniz təcridi marşrut qısayolu ilə dəyişir və qonaq şəbəkəsinin printerə və NAS-a çıxışla bitməsinin adi səbəbi budur.

Addım 2: tuneli mənbəyə görə seçin

Marşrut cədvəlləri təyinatla seçilir, ona görə 0.0.0.0/0-ı tunelə göndərməyi söyləyən qayda hamıya aiddir. Siyasət marşrutlaşdırması ikinci ölçü əlavə edir: cədvəli mənbə ünvanına görə seçin. Linux əsaslı marşrutlaşdırıcıda bu, əlavə qayda və ayrılmış cədvəldir və sıra vacibdir, çünki ilk uyğun gələn qayda qalib gəlir:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Bu son əmr suala birbaşa cavab verir: bu mənbə bu təyinat üçün hansı interfeysi istifadə edəcək. Onu dəyişiklikdən əvvəl və sonra işə salın və brauzerə toxunmadan siyasətin qüvvəyə mindiyini biləcəksiniz.

Əksər marşrutlaşdırıcı proqram təminatı eyni şeyi interfeys qaydası və ya mənbəyə əsaslanan şlüz seçimi kimi ifadə edir. Platformanız hansı sintaksisi istifadə etsə də, prinsip eynidir: giriş interfeysinə və ya mənbə prefiksinə uyğunlaşdırın, sonra marşrutu yalnız həmin uyğunluq üçün üstələyin. Təyinat üzrə uyğunlaşdırılmış qayda qonağı ev cihazından ayıra bilməz.

Addım 3: cavab yolu və tərcümə

Tuneldən çıxan paket geri qayıtmalıdır. Ya tunel qarşı tərəfi qonaq prefiksinə geri marşrut bilir, ya da marşrutlaşdırıcı qonaq mənbəyini tunel ünvanına çevirir. Birini seçin və yazın, çünki nasazlıq rejimləri fərqli görünür: çatışmayan geri marşrut qurulan və heç vaxt cavab verməyən bağlantı verir, çatışmayan tərcümə isə çox vaxt heç nə vermir.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Tərcüməni seçsəniz, qarşı tərəfin indi hər qonaq üçün bir ünvan gördüyünü unutmayın, yəni uzaq ucda hər müştəri üzrə siyasət yox olur. Əvəzində ünvanları qorusanız, hər iki tərəf qonaq prefiksini marşrutunda və siyasətində saxlamalıdır, bu daha çox iş və daha proqnozlaşdırıla biləndir.

IPv6 öz qaydasını tələb edir. IPv4 üçün yazılmış siyasət digər ailəni əhatə etmir və işlək IPv6-ya malik qonaq cihazı diqqətlə marşrutlaşdırılmış IPv4 yolunuz boş qalarkən ondan məmnuniyyətlə istifadə edəcək. Ya hər iki ailəni marşrutlaşdırın, ya qonaq seqmentində IPv6-nı söndürün, amma yazdığınız birləşmiş qaydanın cihazın həqiqətən etdiyini əhatə etdiyini güman etməyin. Hər iki ailə aktiv olan müştəri ilə sınaqdan keçirin, çünki dizaynın tab gətirməli olduğu hal budur. IPv6-ya üstünlük verən noutbuk yalnız IPv4 sınağında düzgün görünür və real sınaqda sızır.

Təcridi sınaqdan keçirin, təkcə gəzintini deyil

Gəzmə çıxışın dəyişdiyini sübut edir. Seqmentin təcrid olunduğunu sübut etmir və təcrid qonaq şəbəkəsinin mövcudluq səbəbidir. Qonaq cihazından marşrutlaşdırıcının idarəetmə interfeysinə, etibarlı LAN hostuna və rədd edilməli xidmətə çatmağa çalışın; hər üçü uğursuz olmalıdır və uğursuzluq heç kimin izah edə bilmədiyi fasilə deyil, siyasət qərarı olmalıdır.

Sonra əsas LAN cihazını sınaqdan keçirin və çıxışının dəyişmədiyini təsdiqləyin. Bu dizaynın ən çox yaratdığı reqressiyadır: qonaqlar üçün nəzərdə tutulmuş geniş qayda, uyğunluq təyinat üzrə yazıldığı üçün hər interfeysə tətbiq olunur.

Nəhayət, tunel söndükdə nə olacağına qərar verin. Qonaqlar ya internet almır, ya da təsdiqlədiyiniz yola qayıdır və bunu qərarsız qoymaq adi bağlantıya səssiz dönüş deməkdir ki, bu da qonaq siyasətinin qarşısını almaq istədiyi sızmanın özüdür. internet trafikinin marşrutlaşdırılması resepti pfSense əsaslı marşrutlaşdırıcı üçün eyni yol seçimini izah edir.

Marşrutlaşdırıcıdan qaynaqlanan DNS insanları ən son təəccübləndirən haldır. Qonaqlar marşrutlaşdırıcını həlledici kimi istifadə edərsə, marşrutlaşdırıcının öz sorğuları qonaq qaydasına deyil, marşrutlaşdırıcının marşrutuna uyğun gedir, ona görə axtarışlar adi bağlantıdan çıxa bilər, tətbiq trafiki isə çıxmaz. Seqmenti, həlledicini və nasazlıq siyasətini bir qeyddə saxlayın, növbəti şəxs dizaynı yenidən çıxarmadan hər üçünü yoxlaya bilər.