Wi-Fi müştəri izolyasiyası və VPN lokal girişi: sizi hansı bloklayır

Eyni qonaq SSID-nə iki telefon qoyun və heç biri digərini görmür, amma hər ikisi internetə çıxır. Onlardan birinə VPN müştərisi əlavə edin: üç metr aralıdakı printer görünməz qalır, başqa qitədəki server isə ping-lərə cavab verir. Tuneldə heç nə pozulmayıb; iki ayrı giriş qərarı iştirak edir və yalnız biri marşrutlaşdırma ilə bağlıdır. Giriş nöqtəsi simsiz müştərilərin bir-biri ilə danışa biləcəyini, VPN müştərisi isə hansı təyinatların tuneldən çıxacağını qərarlaşdırır. Bu ikisini qarışdırmaq saatlarla mənasız konfiqurasiya dəyişikliyi yaradır.

İki keçid bir-birindən asılı deyil

Müştəri izolyasiyası kommutasiya qərarıdır. Giriş nöqtəsi birləşdirilmiş stansiyadan kadr qəbul edir, təyinatına baxır, təyinatın eyni körpüdəki başqa stansiya olduğunu görür və kadrı atır. Stansiyanın IP ünvanı bu qərarla əlaqəli deyil, VPN də elə.

Marşrutlaşdırma müştəridə verilən başqa qərardır. VPN-in marşrut cədvəli 192.168.1.50 ünvanına gedən paketin tunelə girəcəyini, yoxsa Wi-Fi interfeysindən çıxacağını müəyyən edir. Paket Wi-Fi ilə çıxır və giriş nöqtəsi müştəriləri izolyasiya edirsə, o, AP-də məhv olur. Paket tunelə girirsə, AP ilkin təyinatı heç vaxt görmür və heç nəyi izolyasiya edə bilmir.

İzolyasiya tipik giriş nöqtəsində nəyi bloklayır

İstehsalçılar bunu bir neçə adla təqdim edir: müştəri izolyasiyası, AP izolyasiyası, stansiya izolyasiyası və ya bunu nəzərdə tutan qonaq şəbəkəsi. OpenWrt-də hər interfeys üçün seçim simsiz konfiqurasiyanın içindəki isolate parametridir, bunu simsiz sənədləşmə izah edir və qonaq SSID-si adətən öz körpüsünü və firewall zonasını alır. Nəticə odur ki, müştərilər arasındakı unicast kadrlar körpüdən keçmir, yəni qonşuya ping, SMB bağlantısı və ya çap işi uğursuz olur, baxmayaraq ki, hər iki cihaz tam siqnal göstərir.

Kəşf protokolları ilk və ən görünən zərər çəkir. Printerlər və media cihazları üçün mDNS 224.0.0.251 ünvanına multicast göndərir, SSDP 239.255.255.250 istifadə edir və bu kadrların körpüdən keçib-keçmədiyi istehsalçıdan və multicast-in unicast-a çevrilməsinin aktiv olub-olmamasından asılıdır. Siyahıda görünməyən cihaz, məlum ünvana uğursuz birbaşa qoşulmadan daha zəif sübutdur.

VPN nəyi dəyişir və nəyi dəyişə bilməz

Tam tunel defolt marşrutu götürür, ona görə lokal alt şəbəkələrə yalnız müştəri onlar üçün daha konkret marşrut saxlayırsa çatmaq olar. Parçalanmış tunellər əksini edir və lokal girişi dizaynca qoruyur. Heç bir parametr izolyasiya edən AP-ni iki müştərisi arasında kadr ötürməyə məcbur edə bilməz, buna görə VPN müştərisində lokal trafikə icazə vermək zəruri, lakin kifayət deyil.

Əks hal da eyni dərəcədə geniş yayılıb. AP həmkar trafikinə icazə verir, VPN müştərisi lokal alt şəbəkəni tuneldən kənarlaşdırır, amma printer yenə cavab vermir, çünki host firewall Wi-Fi şəbəkəsini ictimai hesab edir. Üç qat, üç fərqli defolt və əksər VPN jurnallarında yalnız marşrut görünür.

Hansı keçidin bağlı olduğunu müəyyənləşdirin

VPN-i tənlikdən çıxaran bir sınaqla başlayın: iki adi cihazı eyni SSID-yə qoşun və birindən digərinə ünvanla çatmağa çalışın. Bu alınmırsa, AP izolyasiya edir və heç bir VPN parametri bunu düzəltməyəcək. Alınırsa, müştəriyə keçin və Linux-da ip route get 192.168.1.50 və ya Windows-da Find-NetRoute -RemoteIPAddress 192.168.1.50 işə salın; nəticə paketin istifadə edəcəyi interfeysi göstərir.

Marşrut Wi-Fi interfeysini göstərəndə paket şifrəsiz çıxır və sual AP ilə host firewall-un buna icazə verib-vermədiyinə çevrilir. Marşrut tuneli göstərəndə təyinat VPN serverinə göndərilir, bu isə eyni LAN-dakı cihaz üçün yanlışdır və adətən tunelin icazəli siyahısının həddən artıq geniş olduğunu bildirir.

Printerin portuna birbaşa qoşulmaq kəşf siyahısından yaxşı sınaqdır. Linux-da nc -vz 192.168.1.50 9100 və ya PowerShell-də Test-NetConnection 192.168.1.50 -Port 9100 ünvana ümumiyyətlə çatmağın mümkün olub-olmadığını, hər hansı tətbiq səviyyəli cütləşmədən əvvəl göstərir.

Olduğunuz şəbəkəyə uyğun düzəlişi seçin

Otel və ya qonaq şəbəkəsində izolyasiya qəsdəndir və onu pozmağa çalışmamalısınız. Lokal cihazı əlçatmaz sayın, çap və ya paylaşım edə bilən hosta çatmaq üçün VPN-dən istifadə edin və SSID-yə LAN kimi baxmağı dayandırın.

Evdə, cihazlar sizindirsə, əsas SSID-də izolyasiyanı söndürmək ağlabatandır, qonaq SSID-si isə izolyasiya olunmuş qalır. Parametr AP-nin simsiz konfiqurasiyasında yaşayır və hər müştəridəki firewall istisnalarında deyil, orada olmalıdır.

Ofisdə AP-nin, VLAN-ın və host firewall-un hamısının qəsdən belə olduğunu fərz edin. İzolyasiyanın söndürülməsini istəmək əvəzinə sınaq nəticələri ilə eskalasiya edin, çünki müştəriləri ayıran şəbəkə adətən nəyisə qoruyur.

Tətbiqi yoxlayın, təkcə ping-i deyil

Uğurlu ping yolu sübut edir, xidməti yox. Printerlər çox vaxt xam 9100 və ya 631 üzərində IPP qəbul edir, amma kəşfi rədd edir, fayl paylaşımı isə 445 və işlək ad həllinə ehtiyac duyur. Tətbiqin istifadə etdiyi portu təsdiqləyin, sonra cihazda faktiki tapşırığı yenidən sınayın.

Qeydlərinizdə iki qatı ayrı saxlayın: Wi-Fi şəbəkəsinin nəyə icazə verdiyini və VPN-in nəyi yönləndirdiyini. Növbəti dəfə bir cihaz siyahıdan yox olsa, bu ayrım sizə ilk haraya baxmağı deyəcək.