Segment domèstic només VPN: atura el camí de reserva, no només l'SSID

Poseu l'SSID de convidats a la VPN i anomeneu el segment només VPN. Després el túnel cau durant dos minuts i els dispositius tornen silenciosament a la WAN normal. Res del nom de l'SSID ho va impedir. Un segment només VPN es defineix pel que passa quan el túnel no està disponible, no per l'etiqueta de la xarxa.

L'etiqueta és una promesa; la política de reserva és l'aplicació.

Mite: l'SSID és la frontera

Un SSID sense la seva pròpia política de reenviament només és un nom. La frontera és una interfície, VLAN o subxarxa separada, amb el seu propi abast DHCP i les seves pròpies regles. Una VLAN us dona una frontera de reenviament que un nom Wi-Fi no pot donar.

L'aïllament de clients també forma part del disseny. Dos dispositius del segment poden necessitar parlar entre ells, o no, i aquesta decisió ha de ser explícita en lloc d'heretar-se d'un perfil de convidat.

Anoteu la interfície i el rang d'adreces del segment abans d'escriure una sola regla. Aquesta línia evita la major part de la confusió posterior.

Mite: la ruta del túnel cobreix tots els protocols

Apliqueu la política del firmware a aquest segment perquè el seu trànsit cap a Internet utilitzi el túnel. Configureu el reenviament i la traducció remots que el túnel requereix. Manteniu només l'accés als recursos locals que el segment realment necessita.

Comproveu les dues famílies d'adreces. Si IPv6 no es transporta pel túnel, la política l'ha de gestionar, o un dispositiu compatible amb IPv6 trobarà una ruta directa que no volíeu.

Un interruptor d'emergència només per a IPv4 amb IPv6 activat és una manera habitual de tenir fuites. Proveu-ho amb un client compatible amb IPv6, no només amb l'ordinador portàtil que tingueu a mà.

Mite: el DNS i el punt final del túnel segueixen el túnel

El DNS del router es pot generar localment i seguir la taula d'encaminament del propi router, no la política del segment. Decidiu quin camí ha d'utilitzar aquest resolutor i què fa quan el túnel falla. La connexió del propi punt final de la VPN és una altra excepció: necessita la ruta exterior documentada fins al parell. Encamineu aquesta connexió dins del túnel i no podrà aixecar-se.

Manteniu l'administració de recuperació separada de l'accés a Internet del segment. Si un parell fallit també us deixa fora del router, heu convertit una caiguda del túnel en una visita al lloc. Manteniu aquest accés en una xarxa de gestió, no al segment només VPN.

Què el fa realment només VPN

Bloquegeu el reenviament normal cap a la WAN per al segment sempre que el túnel estigui caigut. Aquesta regla, no l'SSID, és la que fa certa l'etiqueta. Proveu-ho amb trànsit inofensiu des d'un dispositiu del segment.

Feu tres comprovacions: funcionament normal a través del túnel, la prova de fallada permesa amb el túnel caigut i la recuperació quan torna. Confirmeu que un altre segment de la llar manté la seva ruta prevista durant tot el procés. Documenteu qualsevol excepció directa, o l'etiqueta amagarà camins que ja no recordeu.

Un registre breu del segment, del túnel triat i de les excepcions us dona comprovacions concretes després que una actualització del firmware canviï l'ordre de les regles o el comportament del resolutor. La recepta de client WireGuard per a pfSense és una referència útil per al costat del túnel, no un substitut de la política del segment.