Изолация на Wi-Fi клиенти срещу локален достъп през VPN: кое ви блокира

Сложете два телефона в една и съща гостуваща SSID мрежа и нито един не вижда другия, но и двата излизат в интернет. Добавете VPN клиент на единия и принтерът на три метра остава невидим, докато сървър на друг континент отговаря на ping. В тунела нищо не е счупено; участват две отделни решения за достъп и само едно от тях е за маршрутизация. Точката за достъп решава дали безжичните клиенти могат да говорят помежду си, а VPN клиентът решава кои дестинации излизат през тунела. Объркването на тези две решения носи часове безсмислени промени в конфигурацията.

Двете врати са независими

Изолацията на клиенти е решение на комутацията. Точката за достъп приема кадър от една асоциирана станция, поглежда дестинацията, забелязва, че тя е друга станция на същия мост, и го изхвърля. IP адресът на станцията е без значение за това решение, както и VPN.

Маршрутизацията е друго решение, взето на клиента. Таблицата за маршрути на VPN решава дали пакет за 192.168.1.50 влиза в тунела, или излиза през Wi-Fi интерфейса. Ако пакетът излезе през Wi-Fi, а точката за достъп изолира клиенти, той умира в точката за достъп. Ако пакетът влезе в тунела, точката за достъп никога не вижда оригиналната дестинация и не може да изолира нищо.

Какво блокира изолацията на типична точка за достъп

Производителите го доставят под няколко имена: изолация на клиенти, AP изолация, изолация на станции или гостуваща мрежа, която я предполага. В OpenWrt опцията за интерфейс е isolate в безжичната конфигурация, както е описано в документацията за безжични мрежи, а гостуващата SSID обикновено получава свой мост и зона на защитната стена. Ефектът е, че unicast кадрите между клиенти не се препращат през моста, затова ping, SMB връзка или задача за печат към съсед се проваля, макар двете устройства да показват пълен сигнал.

Протоколите за откриване страдат първи и най-видимо. mDNS за принтери и медийни устройства върви по multicast към 224.0.0.251, SSDP използва 239.255.255.250, а дали тези кадри пресичат моста зависи от производителя и от това дали е включено преобразуване от multicast към unicast. Липсващо устройство в списък е по-слабо доказателство от неуспешна директна връзка към известен адрес.

Какво променя VPN и какво не може да промени

Пълният тунел поема маршрута по подразбиране, затова локалните подмрежи се достигат само ако клиентът пази по-конкретен маршрут за тях. Разделените тунели правят обратното и по замисъл запазват локалния достъп. Никоя от двете настройки не може да принуди изолираща точка за достъп да препрати кадър между двама свои клиенти, затова разрешаването на локален трафик във VPN клиента е необходимо, но недостатъчно.

Обратният случай е също толкова чест. Точката за достъп разрешава трафик между равностойни устройства, VPN клиентът изключва локалната подмрежа от тунела, а принтерът пак не отговаря, защото защитната стена на хоста смята Wi-Fi мрежата за публична. Три слоя, три различни настройки по подразбиране и само маршрутът е видим в повечето VPN журнали.

Определете коя врата е затворена

Започнете с тест, който изважда VPN от картината: свържете две обикновени устройства към същия SSID и опитайте да достигнете едното от другото по адрес. Ако това се провали, точката за достъп изолира и никаква VPN настройка няма да го поправи. Ако успее, минете към клиента и изпълнете ip route get 192.168.1.50 в Linux или Find-NetRoute -RemoteIPAddress 192.168.1.50 в Windows; изходът посочва интерфейса, който пакетът ще използва.

Когато маршрутът сочи Wi-Fi интерфейса, пакетът излиза нешифрован и въпросът става дали точката за достъп и защитната стена на хоста го разрешават. Когато маршрутът сочи тунела, дестинацията се изпраща към VPN сървъра, което е грешно за устройство в същата локална мрежа и обикновено значи, че списъкът с разрешени в тунела е твърде широк.

Директната връзка към порта на принтера е по-добър тест от списък за откриване. nc -vz 192.168.1.50 9100 в Linux или Test-NetConnection 192.168.1.50 -Port 9100 в PowerShell ви казва дали адресът е достижим изобщо, преди каквото и да е сдвояване на приложно ниво.

Изберете поправката за мрежата, в която сте

В хотелска или гостуваща мрежа изолацията е умишлена и не трябва да се опитвате да я преодолеете. Третирайте локалното устройство като недостижимо, използвайте VPN, за да стигнете до хост, който може да печата или споделя, и спрете да гледате на SSID като на локална мрежа.

У дома изключването на изолацията на основната SSID е разумно, когато устройствата са ваши, а гостуващата SSID остава изолирана. Настройката живее в безжичната конфигурация на точката за достъп и там ѝ е мястото, а не в изключения на защитната стена на всеки клиент.

В офис приемайте, че точката за достъп, VLAN и защитната стена на хоста са умишлени. Ескалирайте с резултатите от тестовете, вместо да искате изолацията да бъде изключена, защото мрежа, която разделя клиенти, обикновено защитава нещо.

Проверете приложението, не само ping

Успешният ping доказва пътя, не услугата. Принтерите често приемат суров 9100 или IPP на 631, но отказват откриване, а файловото споделяне изисква 445 плюс работещо разрешаване на имена. Потвърдете порта, който приложението използва, и след това опитайте отново реалната задача на устройството.

Дръжте двата слоя отделно в бележките си: какво разрешава Wi-Fi мрежата и какво маршрутизира VPN. Следващия път, когато устройство изчезне от списък, това разделение ще ви каже къде да гледате първо.