Wi-Fi přístupový bod za VPN bránou: zachovejte jednu místní síť

Přemostěný přístupový bod, nebo druhý směrovaný segment? Rozdíl je v tom, komu patří adresování, DNS a tunel, a to rozhoduje, kde žije politika.

Bezdrátoví klienti mohou sedět za VPN, aniž by přístupový bod o tunelu cokoli věděl. Přemostěte rádio do místní sítě brány, nechte bránu vlastnit adresování i tunel a každé zařízení na Wi-Fi zdědí stejnou politiku. Alternativa, druhý směrovaný segment s vlastní bránou, je jiný návrh s jiným způsobem selhání.

Obě řešení se pletou, protože obě stavějí krabici mezi internet a vaše zařízení. Porovnání toho, co každé vlastní, je nejrychlejší způsob volby.

Dva způsoby, jak postavit VPN před Wi-Fi

U přemostěného uspořádání přístupový bod přenáší rámce mezi rádiem a kabelovým segmentem a nic víc: jedna podsíť, jeden správce adres, jeden směrovač, který uplatňuje politiku. U směrovaného uspořádání má druhá krabice vlastní adresy, vlastní rozsah DHCP i vlastní výchozí trasu, takže provoz překročí další hranici, než dorazí k tunelu. Přemostěný návrh staví každé bezdrátové zařízení jako místní pro bránu, a proto je pokrývá jedna sada pravidel. Směrovaný návrh vám dává segment k přemýšlení a druhé místo, kde se politika může pokazit.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Zvolte přemostění, pokud je požadavkem, aby bezdrátová zařízení používala stejný tunel jako kabelová. Zvolte směrování, když chcete segment, který lze izolovat, nebo když druhá krabice už existuje jako směrovač.

Co přemostěné uspořádání skutečně mění

Přemostění odstraní vrstvu překladu a konkurenční výchozí bránu, ale přidá problém správy. Přístupový bod stále potřebuje adresu, na kterou se dostanete, což pracovní postup výrobce obvykle zařídí přes hlavní místní síť. Jeho služba DHCP musí být vypnutá, jinak budou dvě autority vydávat protichůdné pronájmy. Brána drží tunel, nastavení překladače i rozhodnutí o tom, co se stane, když tunel spadne, takže politika žije přesně na jednom místě.

Rádio z toho nic automaticky od tunelu nedědí. Jen přestane přidávat vrstvy, které by to zastíraly.

Kam patří druhý směrovaný segment

Směrovaný segment si svou složitost zaslouží, když zařízení za ním potřebují jiné zacházení než zbytek místní sítě. Hostovská síť, laboratoř nebo sada klientů, kteří musí vždy vycházet přes určitou zemi, jsou všechny důvody postavit do cesty směrovač. Cenou je druhá autorita adres, druhý firewall, který je třeba udržovat v souladu, a zpětná trasa z hlavní místní sítě, pokud se odtud někdo potřebuje dostat do segmentu. To jsou závazky, ne detaily konfigurace.

Častou chybou je postavit směrovanou verzi omylem, s opětovným použitím směrovače, který stále provozuje vlastní DHCP a překlad. To vede k dvojímu překladu a politice, kterou nikdo nedokáže vysledovat.

Testujte z Wi-Fi klienta, ne z brány

Úspěšný požadavek na bráně dokazuje, že tunel funguje pro bránu. Skutečná otázka je, zda jej používá přeposílaný provoz bezdrátového klienta, a to se musí pozorovat z klienta. Níže uvedené příkazy kontrolují adresu klienta, jeho trasu a adresu, kterou vidí vzdálená služba.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adresa uvnitř místní sítě brány potvrzuje, že most propouští rámce, místo aby je překládal. Trasa, jejíž první skok je brána, potvrzuje, že klient nezískal druhou výchozí trasu odjinud. Kontrola výstupní adresy odpovídá na skutečnou otázku a krátké trasování ukazuje, zda jsou první skoky očekávané. Pokud adresa klienta pochází z jiného rozsahu, prvním podezřelým je zatoulaný server DHCP.

Zapište roli každé krabice, její adresu a autoritu DHCP. Schéma o třech čarách stačí a vyřeší většinu sporů o to, kam které pravidlo patří.

Související články