Домашна мрежа само през VPN: спрете резервния път, а не само SSID

Слагате госткия SSID във VPN и наричате сегмента само VPN. После тунелът пада за две минути и устройствата тихо се връщат в обикновения WAN. Нищо в името на SSID не попречи на това. Сегментът само VPN се определя от това какво се случва, когато тунелът е недостъпен, а не от етикета на мрежата.

Етикетът е обещание; политиката за резервен път е изпълнението.

Мит: SSID е границата

SSID без собствена политика за препращане е просто име. Границата е отделен интерфейс, VLAN или подмрежа със собствен DHCP обхват и собствени правила. VLAN ви дава граница за препращане, която име на Wi-Fi не може да даде.

Изолацията на клиентите също е част от дизайна. Две устройства в сегмента може да трябва да говорят едно с друго, а може и да не, и този избор трябва да е явен, а не наследен от гостки профил.

Запишете интерфейса и адресния диапазон на сегмента, преди да напишете дори едно правило. Този един ред предотвратява по-голямата част от по-късното объркване.

Мит: маршрутът на тунела покрива всеки протокол

Приложете политиката на фърмуера към този сегмент, така че трафикът му към интернет да използва тунела. Настройте отдалеченото препращане и транслация, които тунелът изисква. Запазете само достъпа до локалните ресурси, които сегментът наистина нуждае.

Проверете и двете семейства адреси. Ако IPv6 не се пренася през тунела, политиката трябва да се справи с него, иначе устройство с поддръжка на IPv6 ще намери директен маршрут, който не сте имали предвид.

Прекъсвач за защита само с IPv4 при включен IPv6 е чест начин за изтичане. Тествайте с клиент с поддръжка на IPv6, а не само с лаптопа, който имате под ръка.

Мит: DNS и крайната точка на тунела следват тунела

DNS на рутера може да се генерира локално и да следва собствената таблица за маршрутизиране на рутера, а не политиката на сегмента. Решете кой път да използва този резолвер и какво прави, когато тунелът се провали. Собствената връзка на VPN към крайната точка е друго изключение: тя се нуждае от документирания външен маршрут до партньора. Насочете тази връзка в тунела и тя не може да се вдигне.

Дръжте администрацията за възстановяване отделно от интернет достъпа на сегмента. Ако провален партньор също ви заключи от рутера, сте превърнали прекъсване на тунела в посещение на място. Дръжте този достъп в управляваща мрежа, а не в сегмента само VPN.

Какво всъщност го прави само VPN

Блокирайте обикновеното препращане към WAN за сегмента, когато тунелът е спрян. Именно това правило, а не SSID, прави етикета верен. Тествайте го с безвреден трафик от устройство в сегмента.

Направете три проверки: нормална работа през тунела, разрешения тест за отказ със спрян тунел и възстановяване, когато се върне. Потвърдете, че друг домашен сегмент запазва своя предвиден маршрут през цялото време. Документирайте всякакви директни изключения, иначе етикетът скрива пътища, които вече не помните.

Краткият запис на сегмента, избрания тунел и изключенията ви дава конкретни проверки, след като актуализация на фърмуера промени реда на правилата или поведението на резолвера. Рецептата за клиент WireGuard в pfSense е полезна справка за страната на тунела, а не заместител на политиката на сегмента.