Yalnız VPN ev şəbəkəsi: yalnız SSID-i deyil, ehtiyat marşrutu da söndürün

Qonaq SSID-ni VPN-ə qoyub seqmenti yalnız-VPN adlandırırsınız. Sonra tunel iki dəqiqə düşür və cihazlar səssizcə adi WAN-a qayıdır. SSID adındakı heç nə buna mane olmadı. Yalnız-VPN seqmenti tunel mövcud olmayanda nə baş verdiyi ilə müəyyən edilir, şəbəkənin etiketi ilə deyil.

Etiket bir vəddir; ehtiyat siyasəti isə icradır.

Mif: SSID sərhəddir

Öz yönləndirmə siyasəti olmayan SSID sadəcə bir addır. Sərhəd ayrı interfeys, VLAN və ya alt şəbəkədir və öz DHCP diapazonu, öz qaydaları var. VLAN sizə Wi-Fi adının verə bilmədiyi yönləndirmə sərhədi verir.

Müştəri izolyasiyası da dizayna aiddir. Seqmentdəki iki cihaz bir-biri ilə danışmalı ola bilər, ya da olmaya bilər, və bu seçim qonaq profilindən miras alınmaq əvəzinə açıq şəkildə göstərilməlidir.

Tək bir qayda yazmazdan əvvəl seqmentin interfeysini və ünvan diapazonunu yazın. Bu bir sətir sonrakı qarışıqlığın çoxunu qarşısını alır.

Mif: tunel marşrutu hər protokolu əhatə edir

Proqram təminatının siyasətini həmin seqmentə tətbiq edin ki, internetə yönələn trafiki tuneldən istifadə etsin. Tunelin tələb etdiyi uzaq yönləndirmə və tərcüməni konfiqurasiya edin. Yalnız seqmentin həqiqətən ehtiyac duyduğu yerli resurs girişini saxlayın.

Hər iki ünvan ailəsini yoxlayın. IPv6 tuneldən keçirilmirsə, siyasət onunla məşğul olmalıdır, əks halda IPv6 dəstəyi olan cihaz nəzərdə tutmadığınız birbaşa marşrut tapacaq.

IPv6 aktiv ikən yalnız IPv4 üçün kill switch istifadə etmək sızmanın geniş yayılmış yoludur. Əlinizdəki noutbukla deyil, IPv6 dəstəyi olan müştəri ilə sınayın.

Mif: DNS və tunel son nöqtəsi tunelə tabe olur

Marşrutlaşdırıcı DNS-i yerli olaraq yaradıla və seqmentin siyasətinə deyil, marşrutlaşdırıcının öz marşrut cədvəlinə tabe ola bilər. Həmin həlledicinin hansı yoldan istifadə etməli olduğunu və tunel uğursuz olanda nə edəcəyini qərar verin. VPN-in öz son nöqtə bağlantısı başqa bir istisnadır: həmyaşıdına sənədləşdirilmiş xarici marşrut lazımdır. Həmin bağlantını tunelə yönləndirin və o, qalxa bilməz.

Bərpa idarəçiliyini seqmentin internet girişindən ayrı saxlayın. Uğursuz həmyaşıd sizi də marşrutlaşdırıcıdan kilidləyirsə, tunel kəsintisini yerində ziyarətə çevirmisiniz. Həmin girişi idarəetmə şəbəkəsində saxlayın, yalnız-VPN seqmentində deyil.

Onu həqiqətən yalnız-VPN edən nədir

Tunel işləmədiyi hər dəfə seqment üçün adi WAN yönləndirməsini bloklayın. Etiketi doğru edən SSID deyil, məhz bu qaydadır. Bunu seqment cihazından zərərsiz trafiklə sınayın.

Üç yoxlama keçirin: tuneldən normal işləmə, tunel düşmüş halda icazə verilən nasazlıq testi və o qayıdanda bərpa. Başqa bir ev seqmentinin bütün boyu öz nəzərdə tutulan marşrutunu saxladığını təsdiqləyin. Hər hansı birbaşa istisnanı sənədləşdirin, əks halda etiket artıq xatırlamadığınız yolları gizlədir.

Seqmentin, seçilmiş tunelin və istisnaların qısa qeydi proqram təminatı yeniləməsi qayda sırasını və ya həlledici davranışını dəyişdikdən sonra sizə konkret yoxlamalar verir. pfSense WireGuard müştəri resepti tunel tərəfi üçün faydalı bir mənbədir, seqment siyasətinin əvəzi deyil.