VPN şlüzü arxasında Wi-Fi giriş nöqtəsi: bir LAN-ı saxla

Simsiz müştərilər giriş nöqtəsi tunel haqqında heç nə bilmədən VPN arxasında otura bilər. Radionu şlüzün LAN-ına körpü ilə birləşdirin, ünvanlaşdırma və tunel şlüzə aid olsun, və Wi-Fi-dakı hər cihaz eyni siyasəti miras alır. Alternativ, öz şlüzü olan ikinci marşrutlaşdırılmış seqment, fərqli nasazlıq rejimi olan fərqli bir dizayndır.

İkisi qarışdırılır, çünki hər ikisi internetlə cihazlarınız arasında bir qutu qoyur. Hər birinin nəyə sahib olduğunu müqayisə etmək seçim üçün ən sürətli yoldur.

VPN-i Wi-Fi-nin qarşısına qoymağın iki yolu

Körpü sxemində giriş nöqtəsi kadrları radio ilə kabel seqmenti arasında daşıyır və başqa heç nə etmir: bir subnet, bir ünvan orqanı, siyasəti tətbiq edən bir marşrutlaşdırıcı. Marşrutlaşdırılmış sxemdə ikinci qutunun öz ünvanları, öz DHCP sahəsi və öz standart marşrutu var, buna görə trafik tunelə çatmadan əvvəl daha bir sərhədi keçir. Körpü dizaynı hər simsiz cihazı şlüz üçün yerli göstərir, buna görə bir qayda dəsti hamısını əhatə edir. Marşrutlaşdırılmış dizayn sizə üzərində düşünmək üçün bir seqment və siyasətin səhv gedə biləcəyi ikinci bir yer verir.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Tələb simsiz cihazların kabel cihazları ilə eyni tuneldən istifadə etməsidirsə, körpünü seçin. Təcrid oluna bilən bir seqment istəyirsinizsə və ya ikinci qutu artıq marşrutlaşdırıcı kimi mövcuddursa, marşrutlaşdırılmışı seçin.

Körpü sxeminin həqiqətən nəyi dəyişdiyi

Körpü bir tərcümə qatını və rəqabət edən standart şlüzü aradan qaldırır və idarəetmə problemi əlavə edir. Giriş nöqtəsi hələ də çata biləcəyiniz bir ünvana ehtiyac duyur, bunu satıcı iş axını adətən əsas LAN vasitəsilə təşkil edir. Onun DHCP xidməti söndürülməlidir, əks halda iki orqan bir-biri ilə ziddiyyətli icarə müqavilələri verəcək. Şlüz tuneli, həlledici ayarlarını və tunel düşəndə nə olacağı qərarını saxlayır, buna görə siyasət tam olaraq bir yerdə yaşayır.

Radio bunların heç birini tuneldən avtomatik miras almır. Sadəcə onu örtəcək qatlar əlavə etməyi dayandırır.

İkinci marşrutlaşdırılmış seqment hara uyğun gəlir

Marşrutlaşdırılmış seqment öz mürəkkəbliyini o zaman haqq edir ki, arxasındakı cihazlar LAN-ın qalan hissəsindən fərqli rəftar tələb etsin. Qonaq şəbəkəsi, laboratoriya və ya həmişə müəyyən bir ölkədən çıxmalı olan müştərilər çoxluğu — bunların hamısı yola marşrutlaşdırıcı qoymaq üçün səbəbdir. Qiymət ikinci ünvan orqanı, ardıcıl saxlanmalı ikinci firewall və əsas LAN-dan həmin seqmentə çatmaq lazım gələrsə, geri marşrutdur. Bunlar konfiqurasiya detalları deyil, öhdəliklərdir.

Ümumi səhv marşrutlaşdırılmış versiyanı təsadüfən qurmaqdır: hələ də öz DHCP və tərcüməsini işlədən bir marşrutlaşdırıcını təkrar istifadə etmək. Bu, ikiqat tərcümə və heç kimin izləyə bilmədiyi bir siyasət yaradır.

Şlüzdən deyil, Wi-Fi müştərisindən test edin

Şlüzdə uğurlu sorğu tunelin şlüz üçün işlədiyini sübut edir. Əsl sual simsiz müştərinin yönləndirilmiş trafikinin ondan istifadə edib-etmədiyidir və bu, müştəridən müşahidə olunmalıdır. Aşağıdakı əmrlər müştərinin ünvanını, marşrutunu və uzaq xidmətin gördüyü ünvanı yoxlayır.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Şlüzün LAN-ı daxilində ünvan körpünün kadrları tərcümə etmək əvəzinə ötürdüyünü təsdiqləyir. İlk addımı şlüz olan marşrut müştərinin başqa yerdən ikinci standart marşrut almadığını təsdiqləyir. Çıxış ünvanı yoxlaması əsl suala cavab verir və qısa iz ilk addımların gözlənilən olub-olmadığını göstərir. Müştərinin ünvanı fərqli sahədən gəlirsə, ilk şübhəli azmış DHCP serveridir.

Hər qutunun rolunu, ünvanını və DHCP orqanını yazın. Üç xəttli bir diaqram kifayətdir və bir qaydanın hara aid olduğu barədə mübahisələrin çoxunu həll edir.