Wi-Fi izolacija klijenata naspram lokalnog pristupa preko VPN-a: šta vas blokira

Stavite dva telefona na isti gostujući SSID i nijedan ne vidi drugi, a oba dolaze do interneta. Dodajte VPN klijent na jedan od njih i štampač tri metra dalje ostaje nevidljiv, dok server na drugom kontinentu odgovara na ping. Ništa u tunelu nije pokvareno; u igri su dvije odvojene odluke o pristupu i samo jedna od njih se tiče rutiranja. Pristupna tačka odlučuje mogu li bežični klijenti međusobno razgovarati, a VPN klijent odlučuje koja odredišta izlaze kroz tunel. Miješanje tih dviju odluka donosi sate besmislenih promjena konfiguracije.

Dva prolaza su nezavisna

Izolacija klijenata je odluka prebacivanja. Pristupna tačka prihvata okvir od jedne pridružene stanice, gleda odredište, primjećuje da je odredište druga stanica na istom mostu i odbacuje ga. IP adresa stanice nije relevantna za tu odluku, a ni VPN.

Rutiranje je druga odluka koja se donosi na klijentu. VPN tabela ruta odlučuje ulazi li paket za 192.168.1.50 u tunel ili izlazi kroz Wi-Fi interfejs. Ako paket izlazi kroz Wi-Fi, a pristupna tačka izolira klijente, on umire na pristupnoj tački. Ako paket ulazi u tunel, pristupna tačka nikad ne vidi izvorno odredište i ne može ništa izolirati.

Šta izolacija blokira na tipičnoj pristupnoj tački

Proizvođači to isporučuju pod nekoliko naziva: izolacija klijenata, izolacija pristupne tačke, izolacija stanica ili gostujuća mreža koja je podrazumijeva. U OpenWrtu je opcija za pojedinačni interfejs isolate unutar bežične konfiguracije, kako je opisano u dokumentaciji za bežične mreže, a gostujući SSID obično dobija svoj most i firewall zonu. Efekat je da se unicast okviri između klijenata ne prenose preko mosta, pa ping, SMB veza ili posao štampe prema susjedu propada iako oba uređaja pokazuju pun signal.

Protokoli za otkrivanje trpe prvi i najvidljivije. mDNS za štampače i medijske uređaje ide multicastom na 224.0.0.251, SSDP koristi 239.255.255.250, a to da li ti okviri prelaze most zavisi od proizvođača i od toga je li uključena konverzija multicasta u unicast. Uređaj koji nedostaje na listi slabiji je dokaz od neuspjele direktne veze na poznatu adresu.

Šta VPN mijenja, a šta ne može promijeniti

Puni tunel preuzima zadanu rutu, pa se lokalne podmreže dostižu samo ako klijent za njih zadrži konkretniju rutu. Razdvojeni tuneli rade suprotno i po dizajnu čuvaju lokalni pristup. Nijedno od tih podešavanja ne može natjerati izolirajuću pristupnu tačku da prenese okvir između dva svoja klijenta, zato je dopuštanje lokalnog saobraćaja u VPN klijentu nužno, ali ne i dovoljno.

Obrnut slučaj je jednako čest. Pristupna tačka dopušta saobraćaj između klijenata, VPN klijent isključuje lokalnu podmrežu iz tunela, a štampač i dalje ne odgovara jer host firewall tretira Wi-Fi mrežu kao javnu. Tri sloja, tri različita zadana stanja, a samo je ruta vidljiva u većini VPN zapisa.

Utvrdite koja su vrata zatvorena

Počnite testom koji uklanja VPN iz slike: povežite dva obična uređaja na isti SSID i pokušajte s jednog doći na drugi po adresi. Ako to propadne, pristupna tačka izolira i nijedno VPN podešavanje to neće popraviti. Ako uspije, prijeđite na klijent i pokrenite ip route get 192.168.1.50 na Linuxu ili Find-NetRoute -RemoteIPAddress 192.168.1.50 na Windowsu; izlaz navodi interfejs koji će paket koristiti.

Kad ruta pokazuje na Wi-Fi interfejs, paket izlazi nešifrovan i pitanje postaje dopuštaju li to pristupna tačka i host firewall. Kad ruta pokazuje na tunel, odredište se šalje VPN serveru, što je pogrešno za uređaj na istoj lokalnoj mreži i obično znači da je lista dopuštenog u tunelu preširoka.

Direktna veza na port štampača bolji je test od liste za otkrivanje. nc -vz 192.168.1.50 9100 na Linuxu ili Test-NetConnection 192.168.1.50 -Port 9100 u PowerShellu kaže je li adresa uopšte dostupna, prije nego što ikakvo uparivanje na razini aplikacije uđe u raspravu.

Odaberite popravku za mrežu u kojoj se nalazite

Na hotelskoj ili gostujućoj mreži izolacija je namjerna i ne treba je pokušavati savladati. Tretirajte lokalni uređaj kao nedostupan, koristite VPN da dođete do hosta koji može štampati ili dijeliti i prestanite SSID tretirati kao lokalnu mrežu.

Doma je isključivanje izolacije na glavnom SSID-u razumno kad su uređaji vaši, dok gostujući SSID ostaje izoliran. Podešavanje živi u bežičnoj konfiguraciji pristupne tačke i tamo mu je mjesto, a ne u firewall izuzecima na svakom klijentu.

U kancelariji pretpostavite da su pristupna tačka, VLAN i host firewall sve namjerni. Eskalirajte s rezultatima testova umjesto da tražite da se izolacija isključi, jer mreža koja razdvaja klijente obično nešto štiti.

Provjerite aplikaciju, ne samo ping

Uspješan ping dokazuje put, ne uslugu. Štampači često prihvataju sirovi 9100 ili IPP na 631, ali odbijaju otkrivanje, a dijeljenje datoteka traži 445 plus ispravno razrješavanje imena. Potvrdite port koji aplikacija koristi, pa pokušajte stvarni zadatak na uređaju ponovo.

Držite dva sloja odvojeno u svojim bilješkama: šta Wi-Fi mreža dopušta i šta VPN usmjerava. Sljedeći put kad uređaj nestane s liste, ta podjela kaže gdje prvo gledati.