Punt d’accés Wi-Fi darrere una porta d’enllaç VPN: manteniu una sola LAN

Punt d’accés en pont o segon segment encaminat? La diferència és qui posseeix l’adreçament, el DNS i el túnel, i això decideix on viu la política.

Els clients sense fil poden seure darrere una VPN sense que el punt d’accés sàpiga res del túnel. Passeu la ràdio en pont cap a la LAN de la porta d’enllaç, deixeu que la porta d’enllaç posseeixi l’adreçament i el túnel, i cada dispositiu de la Wi-Fi hereta la mateixa política. L’alternativa, un segon segment encaminat amb la seva pròpia porta d’enllaç, és un disseny diferent amb un mode de fallada diferent.

Els dos es confonen perquè tots dos posen una caixa entre internet i els vostres dispositius. Comparar què posseeix cadascun és la manera més ràpida de triar.

Dues maneres de posar la VPN davant de la Wi-Fi

En un disseny en pont, el punt d’accés transporta trames entre la ràdio i el segment cablejat i res més: una subxarxa, una autoritat d’adreces, un encaminador que aplica la política. En un disseny encaminat, la segona caixa té adreces pròpies, el seu propi abast DHCP i la seva pròpia ruta per defecte, de manera que el trànsit travessa una altra frontera abans d’arribar al túnel. El disseny en pont fa que cada dispositiu sense fil sembli local per a la porta d’enllaç, i per això un sol conjunt de regles els cobreix tots. El disseny encaminat us dona un segment sobre el qual raonar i un segon lloc on la política es pot equivocar.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Trieu el pont quan el requisit és que els dispositius sense fil facin servir el mateix túnel que els cablejats. Trieu l’encaminat quan vulgueu un segment que es pugui aïllar, o quan la segona caixa ja existeixi com a encaminador.

Què canvia realment el disseny en pont

El pont elimina una capa de traducció i una porta d’enllaç per defecte que competeix, i afegeix un problema de gestió. El punt d’accés encara necessita una adreça que pugueu assolir, cosa que el flux del fabricant sol arreglar per mitjà de la LAN principal. El seu servei DHCP ha d’estar aturat, o dues autoritats repartiran concessions en conflicte. La porta d’enllaç conserva el túnel, la configuració del resolutor i la decisió sobre què passa quan el túnel cau, així que la política viu en un sol lloc exactament.

La ràdio no hereta res d’això automàticament del túnel. Només deixa d’afegir capes que ho amagarien.

On encaixa un segon segment encaminat

Un segment encaminat es guanya la seva complexitat quan els dispositius que hi ha darrere necessiten un tracte diferent de la resta de la LAN. Una xarxa de convidats, un laboratori o un conjunt de clients que sempre hagin de sortir per un país concret són tots motius per posar un encaminador al camí. El cost és una segona autoritat d’adreces, un segon tallafoc que cal mantenir coherent i una ruta de retorn des de la LAN principal si algú d’allà ha d’arribar al segment. Són obligacions, no detalls de configuració.

L’error habitual és construir la versió encaminada per accident, reutilitzant un encaminador que encara executa el seu propi DHCP i la seva traducció. Això produeix traducció doble i una política que ningú no pot rastrejar.

Proveu des d’un client Wi-Fi, no des de la porta d’enllaç

Una petició correcta a la porta d’enllaç demostra que el túnel funciona per a la porta d’enllaç. La pregunta real és si el trànsit reenviat d’un client sense fil el fa servir, i això s’ha d’observar des del client. Les ordres següents comproven l’adreça del client, la seva ruta i l’adreça que veu un servei remot.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Una adreça dins de la LAN de la porta d’enllaç confirma que el pont fa passar trames en lloc de traduir-les. Una ruta el primer salt de la qual és la porta d’enllaç confirma que el client no ha adquirit una segona ruta per defecte d’algun altre lloc. La comprovació de l’adreça de sortida respon la pregunta real, i el traç curt mostra si els primers salts són els esperats. Si l’adreça del client ve d’un abast diferent, el primer sospitós és un servidor DHCP extraviat.

Anoteu el paper de cada caixa, la seva adreça i l’autoritat DHCP. Un diagrama de tres línies és suficient, i resol la majoria de discussions sobre on pertany una regla.

Articles relacionats