Domácí segment jen přes VPN: vypněte záložní cestu, ne jen SSID
Hostovské SSID na VPN ještě neznamená jen VPN. Rozhodněte, co se stane při pádu tunelu, pokryjte IPv6 a otestujte výpadek, než uvěříte označení.
Dáte hostovské SSID na VPN a segment nazvete jen VPN. Pak tunel na dvě minuty spadne a zařízení se tiše vrátí do běžného WAN. Nic v názvu SSID tomu nezabránilo. Segment jen VPN je definován tím, co se stane, když je tunel nedostupný, ne označením sítě.
Označení je slib; politika záložní cesty je vynucení.
Mýtus: SSID je hranice
SSID bez vlastní politiky předávání je jen název. Hranicí je samostatné rozhraní, VLAN nebo podsíť s vlastním rozsahem DHCP a vlastními pravidly. VLAN vám dá hranici předávání, kterou název Wi-Fi dát nemůže.
Izolace klientů patří také do návrhu. Dvě zařízení v segmentu spolu mohou potřebovat komunikovat, nebo také ne, a tato volba by měla být výslovná, nikoli zděděná z hostovského profilu.
Zapište rozhraní segmentu a rozsah adres, než napíšete jediné pravidlo. Tento jeden řádek zabrání většině pozdějšího zmatku.
Mýtus: trasa tunelu pokrývá každý protokol
Použijte politiku firmwaru na tento segment, aby jeho provoz směřující do internetu používal tunel. Nastavte vzdálené předávání a překlad, které tunel vyžaduje. Ponechte jen přístup k místním prostředkům, které segment skutečně potřebuje.
Zkontrolujte obě rodiny adres. Pokud se IPv6 tunelem nepřenáší, musí se s ním politika vypořádat, jinak zařízení s podporou IPv6 najde přímou trasu, kterou jste nezamýšleli.
Přepínač nouzového odpojení jen pro IPv4 při zapnutém IPv6 je častý způsob úniku. Testujte s klientem s podporou IPv6, ne jen s notebookem, který máte po ruce.
Mýtus: DNS a koncový bod tunelu následují tunel
DNS routeru lze generovat lokálně a může následovat vlastní směrovací tabulku routeru, nikoli politiku segmentu. Rozhodněte, kterou cestu má tento resolver použít a co dělá, když tunel selže. Vlastní připojení VPN ke koncovému bodu je další výjimkou: potřebuje dokumentovanou vnější trasu k protějšku. Nasměrujte toto připojení do tunelu a nebude se moci navázat.
Udržujte správu obnovy oddělenou od internetového přístupu segmentu. Pokud vás selhaný protějšek také uzamkne mimo router, proměnili jste výpadek tunelu v návštěvu na místě. Udržujte tento přístup v řídicí síti, ne v segmentu jen VPN.
Co z něj skutečně dělá jen VPN
Zablokujte běžné předávání do WAN pro segment, kdykoli je tunel dole. Právě toto pravidlo, ne SSID, činí označení pravdivým. Otestujte to neškodným provozem ze zařízení v segmentu.
Proveďte tři kontroly: normální provoz tunelem, povolený test selhání s tunelem dole a obnovu, když se vrátí. Potvrďte, že jiný domácí segment si po celou dobu udržuje svou zamýšlenou trasu. Zdokumentujte všechny přímé výjimky, jinak označení skrývá cesty, které už nepamatujete.
Krátký záznam o segmentu, zvoleném tunelu a výjimkách vám poskytne konkrétní kontroly poté, co aktualizace firmwaru změní pořadí pravidel nebo chování resolveru. Recept klienta WireGuard pro pfSense je užitečný odkaz pro stranu tunelu, nikoli náhrada politiky segmentu.