Wi-Fi точка за достъп зад VPN шлюз: запазете една локална мрежа

Мостова точка за достъп или втори маршрутизиран сегмент? Разликата е кой притежава адресирането, DNS и тунела и това решава къде живее политиката.

Безжичните клиенти могат да стоят зад VPN, без точката за достъп да знае нищо за тунела. Свържете радиото като мост към локалната мрежа на шлюза, оставете шлюза да притежава адресирането и тунела, и всяко устройство в Wi-Fi наследява същата политика. Алтернативата — втори маршрутизиран сегмент със собствен шлюз — е различен дизайн с различен режим на отказ.

Двете се бъркат, защото и двете поставят кутия между интернет и устройствата ви. Сравняването какво притежава всяка е най-бързият начин да изберете.

Два начина да поставите VPN пред Wi-Fi

При мостовата схема точката за достъп пренася кадри между радиото и кабелния сегмент и нищо друго: една подмрежа, един орган за адреси, един маршрутизатор, който прилага политиката. При маршрутизираната схема втората кутия има свои адреси, свой DHCP обхват и свой маршрут по подразбиране, така че трафикът пресича още една граница, преди да стигне до тунела. Мостовият дизайн прави всяко безжично устройство локално за шлюза и затова един набор от правила покрива всички. Маршрутизираният дизайн ви дава сегмент, за който да мислите, и второ място, където политиката да се обърка.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Изберете мост, когато изискването е безжичните устройства да използват същия тунел като кабелните. Изберете маршрутизиран, когато искате сегмент, който може да бъде изолиран, или когато втората кутия вече съществува като маршрутизатор.

Какво всъщност променя мостовата схема

Мостът премахва слой за преобразуване и конкурентен шлюз по подразбиране, но добавя проблем с управлението. Точката за достъп все още се нуждае от адрес, до който да се доберете, което работният процес на доставчика обикновено урежда през основната локална мрежа. Нейната DHCP услуга трябва да е изключена, иначе два органа ще раздават противоречиви наеми. Шлюзът пази тунела, настройките на резолвера и решението какво става, когато тунелът падне, така че политиката живее точно на едно място.

Радиото не наследява нищо от това автоматично от тунела. То просто спира да добавя слоеве, които биха го закрили.

Къде се вписва втори маршрутизиран сегмент

Маршрутизираният сегмент заслужава сложността си, когато устройствата зад него се нуждаят от различно отношение от останалата локална мрежа. Гостева мрежа, лаборатория или набор клиенти, които винаги трябва да излизат през определена държава, са все причини да поставите маршрутизатор по пътя. Цената е втори орган за адреси, втора защитна стена, която да поддържате съгласувана, и обратен маршрут от основната локална мрежа, ако някой там трябва да стигне до сегмента. Това са задължения, а не подробности по конфигурацията.

Честата грешка е маршрутизираният вариант да се построи случайно, като се използва отново маршрутизатор, който още върти собствен DHCP и преобразуване. Това дава двойно преобразуване и политика, която никой не може да проследи.

Тествайте от Wi-Fi клиент, не от шлюза

Успешна заявка на шлюза доказва, че тунелът работи за шлюза. Истинският въпрос е дали препратеният трафик на безжичен клиент го използва и това трябва да се наблюдава от клиента. Командите по-долу проверяват адреса на клиента, маршрута му и адреса, който вижда отдалечена услуга.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Адрес в локалната мрежа на шлюза потвърждава, че мостът предава кадри, вместо да ги преобразува. Маршрут, чиято първа стъпка е шлюзът, потвърждава, че клиентът не е получил втори маршрут по подразбиране от друго място. Проверката на адреса за изход отговаря на истинския въпрос, а кратката трасировка показва дали първите стъпки са очакваните. Ако адресът на клиента идва от друг обхват, първият заподозрян е заблуден DHCP сървър.

Запишете ролята на всяка кутия, нейния адрес и органа за DHCP. Схема с три линии е достатъчна и решава повечето спорове къде принадлежи дадено правило.

Подобни статии