Хатні сегмент толькі праз VPN: адключыце рэзервовы шлях, а не толькі SSID

Вы змяшчаеце гасцявы SSID у VPN і называеце сегмент толькі VPN. Потым тунель падае на дзве хвіліны, і прылады ціха вяртаюцца ў звычайны WAN. Нішто ў назве SSID гэтаму не перашкодзіла. Сегмент толькі VPN вызначаецца тым, што адбываецца, калі тунель недаступны, а не этыкеткай сеткі.

Этыкетка — гэта абяцанне; палітыка рэзервовага шляху — гэта выкананне.

Міф: SSID — гэта мяжа

SSID без уласнай палітыкі перасылкі — проста назва. Мяжа — гэта асобны інтэрфейс, VLAN або падсетка з уласным дыяпазонам DHCP і ўласнымі правіламі. VLAN дае вам мяжу перасылкі, якую назва Wi-Fi даць не можа.

Ізаляцыя кліентаў таксама ўваходзіць у праект. Дзве прылады ў сегменце могуць мець патрэбу размаўляць адна з адной, а могуць і не, і гэты выбар павінен быць яўным, а не ўспадкаваным ад гасцявога профілю.

Запішыце інтэрфейс сегмента і дыяпазон адрасоў, перш чым напісаць хоць адно правіла. Гэты адзін радок прадухіляе большую частку пазнейшай блытаніны.

Міф: маршрут тунеля пакрывае кожны пратакол

Ужыце палітыку прашыўкі да гэтага сегмента, каб яго трафік, накіраваны ў інтэрнэт, ішоў праз тунель. Наладзьце аддаленую перасылку і трансляцыю, якія патрабуе тунель. Пакіньце толькі доступ да лакальных рэсурсаў, які сапраўды патрэбны сегменту.

Праверце абедзве сямействы адрасоў. Калі IPv6 не перадаецца праз тунель, палітыка павінна яго апрацоўваць, інакш прылада з падтрымкай IPv6 знойдзе прамы маршрут, якога вы не мелі на ўвазе.

Пераключальнік адключэння толькі для IPv4 пры ўключаным IPv6 — распаўсюджаны спосаб уцечкі. Тэстуйце кліентам з падтрымкай IPv6, а не толькі ноўтбукам, які ў вас пад рукой.

Міф: DNS і канцавы пункт тунеля ідуць за тунелем

DNS маршрутызатара можа стварацца лакальна і ісці па ўласнай табліцы маршрутызацыі, а не па палітыцы сегмента. Вызначце, які шлях павінен выкарыстоўваць гэты рэзалвер і што ён робіць, калі тунель падае. Уласнае злучэнне канцавога пункта VPN — яшчэ адно выключэнне: яму патрэбны задакументаваны знешні маршрут да партнёра. Накіруйце гэтае злучэнне ў тунель — і яно не зможа ўзняцца.

Трымайце адміністраванне аднаўлення асобна ад інтэрнэт-доступу сегмента. Калі збойны партнёр таксама блакуе вам доступ да маршрутызатара, вы ператварылі збой тунеля ў выезд на месца. Трымайце гэты доступ у кіраўнічай сетцы, а не ў сегменце толькі VPN.

Што насамрэч робіць яго толькі VPN

Блакуйце звычайную перасылку WAN для сегмента, калі тунель не працуе. Менавіта гэта правіла, а не SSID, робіць этыкетку праўдзівай. Праверце яго бясшкодным трафікам з прылады ў сегменце.

Правядзіце тры праверкі: звычайную працу праз тунель, дазволены тэст збою з выключаным тунелем і аднаўленне, калі ён вернецца. Пераканайцеся, што іншы хатні сегмент увесь час захоўвае свой меркаваны маршрут. Дакументуйце любыя прамыя выключэнні, інакш этыкетка хавае шляхі, якія вы ўжо не памятаеце.

Кароткі запіс сегмента, выбранага тунеля і выключэнняў дае вам канкрэтныя праверкі пасля таго, як абнаўленне прашыўкі зменіць парадак правілаў або паводзіны рэзалвера. Рэцэпт кліента WireGuard для pfSense — карысная даведка для боку тунеля, а не замена палітыкі сегмента.