Ізаляцыя кліентаў Wi-Fi супраць лакальнага доступу праз VPN: што вас блакуе

Пастаўце два тэлефоны ў адну гасцявую сетку SSID — і ні адзін не бачыць другі, але абодва выходзяць у інтэрнэт. Дадайце VPN-кліент на адзін з іх, і прынтар за тры метры застанецца нябачным, пакуль сервер на іншым кантыненце адказвае на ping. У тунелі нічога не зламана; тут дзейнічаюць два асобныя рашэнні аб доступе, і толькі адно з іх датычыцца маршрутызацыі. Кропка доступу вырашае, ці могуць бесправадныя кліенты размаўляць адзін з адным, а VPN-кліент вырашае, якія пункты прызначэння выходзяць праз тунель. Блытаніна паміж гэтымі двума рашэннямі дае гадзіны бессэнсоўных змен канфігурацыі.

Дзве брамы незалежныя

Ізаляцыя кліентаў — гэта рашэнне камутацыі. Кропка доступу прымае кадр ад адной падключанай станцыі, глядзіць на пункт прызначэння, заўважае, што пункт прызначэння — гэта іншая станцыя на тым самым мосце, і адкідае кадр. IP-адрас станцыі не мае дачынення да гэтага рашэння, як і VPN.

Маршрутызацыя — іншае рашэнне, якое прымаецца на кліенце. Табліца маршрутаў VPN вырашае, ці трапіць пакет для 192.168.1.50 у тунель, ці выйдзе праз Wi-Fi-інтэрфейс. Калі пакет выходзіць праз Wi-Fi, а кропка доступу ізалюе кліентаў, ён гіне на AP. Калі пакет трапляе ў тунель, AP ніколі не бачыць зыходны пункт прызначэння і не можа нічога ізаляваць.

Што ізаляцыя блакуе на тыповай кропцы доступу

Вытворцы пастаўляюць гэта пад некалькімі назвамі: ізаляцыя кліентаў, ізаляцыя AP, ізаляцыя станцый або гасцявая сетка, якая яе прадугледжвае. У OpenWrt опцыя для кожнага інтэрфейса — isolate ўнутры бесправадной канфігурацыі, як апісана ў дакументацыі па бесправадных сетках, а гасцявы SSID звычайна атрымлівае свой мост і зону файрвола. Вынік такі: unicast-кадры паміж кліентамі не перадаюцца праз мост, таму ping, SMB-злучэнне або заданне друку да суседа не ўдаецца, хоць абедзве прылады паказваюць поўны сігнал.

Пратаколы выяўлення церпяць першымі і найбольш прыкметна. mDNS для прынтараў і медыяпрылад ідзе multicast на 224.0.0.251, SSDP выкарыстоўвае 239.255.255.250, і тое, ці перасякаюць гэтыя кадры мост, залежыць ад вытворцы і ад таго, ці ўключана пераўтварэнне multicast у unicast. Прылада, якой няма ў спісе, — больш слабы доказ, чым няўдалае прамое злучэнне з вядомым адрасам.

Што VPN змяняе і чаго змяніць не можа

Поўны тунель забірае маршрут па змаўчанні, таму лакальныя падсеткі дасягальныя, толькі калі кліент захоўвае для іх больш канкрэтны маршрут. Раздзеленыя тунелі робяць наадварот і па сваёй задуме захоўваюць лакальны доступ. Ні адзін з гэтых параметраў не можа прымусіць ізалюючую AP перадаць кадр паміж двума яе кліентамі, таму дазвол лакальнага трафіку ў VPN-кліенце неабходны, але недастатковы.

Адваротны выпадак сустракаецца гэтак жа часта. AP дазваляе аднарангавы трафік, VPN-кліент выключае лакальную падсетку з тунеля, а прынтар усё роўна не адказвае, бо хост-файрвол лічыць Wi-Fi-сетку публічнай. Тры ўзроўні, тры розныя значэнні па змаўчанні, і толькі маршрут бачны ў большасці журналаў VPN.

Вызначце, якая брама зачынена

Пачніце з тэсту, які прыбірае VPN з карціны: падключыце дзве звычайныя прылады да аднаго SSID і паспрабуйце дасягнуць адну з другой па адрасе. Калі гэта не ўдаецца, AP ізалюе, і ніводзін параметр VPN гэтага не выправіць. Калі ўдаецца, перайдзіце да кліента і выканайце ip route get 192.168.1.50 у Linux або Find-NetRoute -RemoteIPAddress 192.168.1.50 у Windows; вынік называе інтэрфейс, які будзе выкарыстоўваць пакет.

Калі маршрут паказвае на Wi-Fi-інтэрфейс, пакет выходзіць без шыфравання, і пытанне ў тым, ці дазваляюць гэта AP і хост-файрвол. Калі маршрут паказвае на тунель, пункт прызначэння адпраўляецца на VPN-сервер, што няслушна для прылады ў той самай лакальнай сетцы і звычайна азначае, што спіс дазволенага ў тунелі занадта шырокі.

Прамое злучэнне з портам прынтара — лепшы тэст, чым спіс выяўлення. nc -vz 192.168.1.50 9100 у Linux або Test-NetConnection 192.168.1.50 -Port 9100 у PowerShell паведаміць, ці дасягальны адрас наогул, перш чым у размову ўступіць спарванне на ўзроўні праграм.

Выберыце выпраўленне для вашай сеткі

У гатэльнай або гасцявой сетцы ізаляцыя наўмысная, і не варта спрабаваць яе пераадолець. Лічыце лакальную прыладу недасягальнай, выкарыстоўвайце VPN, каб дабрацца да хоста, які можа друкаваць або абагульваць, і перастаньце ставіцца да SSID як да лакальнай сеткі.

Дома адключыць ізаляцыю на асноўным SSID разумна, калі прылады вашыя, а гасцявы SSID застаецца ізаляваным. Параметр жыве ў бесправадной канфігурацыі AP, і яму там і месца, а не ў выключэннях файрвола на кожным кліенце.

У офісе зыходзьце з таго, што AP, VLAN і хост-файрвол зроблены наўмысна. Эскаліруйце з вынікамі тэстаў, а не прасіце адключыць ізаляцыю, бо сетка, якая раздзяляе кліентаў, звычайна нешта абараняе.

Праверце праграму, а не толькі ping

Паспяховы ping даказвае шлях, а не службу. Прынтары часта прымаюць сыры 9100 або IPP на 631, але адмаўляюць выяўленне, а файлавы доступ патрабуе 445 плюс працоўнае развязанне імёнаў. Пацвердзіце порт, які выкарыстоўвае праграма, і паўтарыце рэальнае заданне на прыладзе.

Трымайце два ўзроўні асобна ў сваіх нататках: што дазваляе Wi-Fi-сетка і што маршрутызуе VPN. Наступны раз, калі прылада знікне са спісу, гэтае раздзяленне падкажа, дзе шукаць спачатку.