Пункт доступу Wi-Fi за VPN-шлюзам: адна лакальная сетка

Масцічны пункт доступу ці другі маршрутызаваны сегмент? Розніца ў тым, каму належаць адрасацыя, DNS і тунель, і гэта вызначае, дзе жыве палітыка.

Бесправадныя кліенты могуць знаходзіцца за VPN, і пункт доступу пры гэтым нічога не ведае пра тунель. Злучыце радыёмадуль мастом з лакальнай сеткай шлюза, дайце шлюзу адрасацыю і тунель, і кожная прылада ў Wi-Fi атрымае тую ж палітыку. Альтэрнатыва — другі маршрутызаваны сегмент з уласным шлюзам — гэта іншая схема з іншым рэжымам адмовы.

Гэтыя два варыянты блытаюць, бо абодва ставяць скрыню паміж інтэрнэтам і вашымі прыладамі. Параўнанне таго, чым валодае кожны з іх, — самы хуткі спосаб выбраць.

Два спосабы паставіць VPN перад Wi-Fi

У масцічнай схеме пункт доступу перадае кадры паміж радыёмадулем і правадным сегментам і больш нічога: адна падсетка, адзін уладальнік адрасоў, адзін маршрутызатар, які выконвае палітыку. У маршрутызаванай схеме другая скрыня мае ўласныя адрасы, уласны дыяпазон DHCP і ўласны маршрут па змаўчанні, таму трафік перасякае яшчэ адну мяжу, перш чым дасягнуць тунеля. Масцічная схема робіць кожную бесправадную прыладу лакальнай для шлюза, і менавіта таму адзін набор правілаў ахоплівае ўсе. Маршрутызаваная схема дае вам сегмент, пра які можна разважаць, і другое месца, дзе палітыка можа пайсці не так.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Выбірайце масцічную схему, калі патрабаванне ў тым, каб бесправадныя прылады выкарыстоўвалі той жа тунель, што і правадныя. Выбірайце маршрутызаваную, калі вам патрэбны сегмент, які можна ізаляваць, або калі другая скрыня ўжо існуе як маршрутызатар.

Што масцічная схема сапраўды змяняе

Мастбан здымае пласт трансляцыі і канкуруючы шлюз па змаўчанні, але дадае праблему кіравання. Пункту доступу ўсё яшчэ патрэбны адрас, да якога вы можаце дабрацца, і працэс пастаўшчыка звычайна ладзіць гэта праз асноўную лакальную сетку. Яго служба DHCP павінна быць выключана, інакш два ўладальнікі будуць выдаваць супярэчлівыя арандаванні. Шлюз захоўвае тунель, налады рэзалвера і рашэнне пра тое, што адбудзецца, калі тунель упадзе, таму палітыка жыве роўна ў адным месцы.

Радыёмадуль не атрымлівае нічога з гэтага ад тунеля аўтаматычна. Ён проста перастае дадаваць пласты, якія б гэта зацямнілі.

Дзе месца другому маршрутызаванаму сегменту

Маршрутызаваны сегмент апраўдвае сваю складанасць, калі прылады за ім патрабуюць іншага абыходжання, чым астатняя лакальная сетка. Гасцявая сетка, лабараторыя ці набор кліентаў, якія заўсёды павінны выходзіць праз пэўную краіну, — усё гэта прычыны паставіць маршрутызатар на шляху. Кошт — другі ўладальнік адрасоў, другі брандмаўэр, які трэба трымаць узгодненым, і зваротны маршрут з асноўнай лакальнай сеткі, калі камусьці там трэба дабрацца да сегмента. Гэта абавязкі, а не дэталі канфігурацыі.

Тыповая памылка — пабудаваць маршрутызаваны варыянт выпадкова, выкарыстаўшы маршрутызатар, які дагэтуль запускае ўласныя DHCP і трансляцыю. Гэта дае падвойную трансляцыю і палітыку, якую ніхто не можа прасачыць.

Тэстуйце з Wi-Fi-кліента, а не з шлюза

Паспяховы запыт на шлюзе даказвае, што тунель працуе для шлюза. Сапраўднае пытанне — ці выкарыстоўвае яго перададзены трафік бесправаднога кліента, і гэта трэба назіраць з кліента. Каманды ніжэй правяраюць адрас кліента, яго маршрут і адрас, які бачыць аддаленая служба.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Адрас унутры лакальнай сеткі шлюза пацвярджае, што мост перадае кадры, а не транслюе іх. Маршрут, першы крок якога — шлюз, пацвярджае, што кліент не атрымаў другі маршрут па змаўчанні з іншага месца. Праверка адраса выхаду адказвае на сапраўднае пытанне, а кароткі трасіроўшчык паказвае, ці першыя крокі тыя, што чакаліся. Калі адрас кліента з іншага дыяпазону, першы падазроны — блукаючы сервер DHCP.

Запішыце ролю кожнай скрыні, яе адрас і ўладальніка DHCP. Схемы з трох ліній дастаткова, і яна вырашае большасць спрэчак пра тое, дзе месца правілу.

Падобныя артыкулы