Izolace Wi-Fi klientů versus lokální přístup přes VPN: co vás blokuje

Dejte dva telefony do stejného hostovského SSID a ani jeden nevidí druhý, přesto se oba dostanou na internet. Přidejte na jeden z nich VPN klienta a tiskárna tři metry daleko zůstane neviditelná, zatímco server na jiném kontinentu odpovídá na ping. V tunelu není nic pokažené; jde o dvě oddělená rozhodnutí o přístupu a jen jedno z nich je o směrování. Přístupový bod rozhoduje, zda spolu bezdrátoví klienti mohou mluvit, a VPN klient rozhoduje, které cíle odcházejí tunelem. Záměna těchto dvou věcí přináší hodiny zbytečných změn konfigurace.

Dvě brány jsou nezávislé

Izolace klientů je rozhodnutí přepínání. Přístupový bod přijme rámec od jedné asociované stanice, podívá se na cíl, všimne si, že cíl je jiná stanice na stejném mostu, a rámec zahodí. IP adresa stanice s tímto rozhodnutím nesouvisí, stejně jako VPN.

Směrování je jiné rozhodnutí, učiněné na klientovi. Směrovací tabulka VPN rozhoduje, zda paket pro 192.168.1.50 vstoupí do tunelu, nebo odejde přes Wi-Fi rozhraní. Pokud paket odejde přes Wi-Fi a přístupový bod izoluje klienty, zahyne na přístupovém bodu. Pokud paket vstoupí do tunelu, přístupový bod původní cíl nikdy neuvidí a nemůže nic izolovat.

Co izolace blokuje na typickém přístupovém bodu

Výrobci to dodávají pod několika názvy: izolace klientů, izolace AP, izolace stanic nebo hostovská síť, která ji implikuje. V OpenWrt je volba pro jednotlivé rozhraní isolate uvnitř bezdrátové konfigurace, jak popisuje dokumentace k bezdrátovým sítím, a hostovské SSID obvykle dostane vlastní most a zónu firewallu. Účinkem je, že unicastové rámce mezi klienty se přes most nepředávají, takže ping, SMB spojení nebo tisková úloha k sousedovi selže, i když obě zařízení ukazují plný signál.

Protokoly pro zjišťování trpí první a nejviditelněji. mDNS pro tiskárny a mediální zařízení jede multicastem na 224.0.0.251, SSDP používá 239.255.255.250 a to, zda tyto rámce most překročí, závisí na výrobci a na tom, zda je zapnutý převod multicatu na unicast. Zařízení chybějící v seznamu je slabší důkaz než neúspěšné přímé spojení na známou adresu.

Co VPN mění a co změnit nemůže

Plný tunel přebírá výchozí trasu, takže lokální podsítě jsou dostupné jen tehdy, když si pro ně klient ponechá konkrétnější trasu. Rozdělené tunely dělají opak a místní přístup záměrně zachovávají. Žádné z těchto nastavení nemůže donutit izolující přístupový bod přeposlat rámec mezi dvěma jeho klienty, a proto je povolení místního provozu ve VPN klientovi nutné, ale ne dostačující.

Opačný případ je stejně častý. Přístupový bod povoluje provoz mezi klienty, VPN klient vylučuje lokální podsíť z tunelu a tiskárna přesto neodpovídá, protože hostitelský firewall považuje Wi-Fi síť za veřejnou. Tři vrstvy, tři různá výchozí nastavení a ve většině záznamů VPN je vidět jen trasa.

Zjistěte, která brána je zavřená

Začněte testem, který VPN vytlačí ze hry: připojte dvě běžná zařízení ke stejnému SSID a zkuste se z jednoho dostat na druhé podle adresy. Pokud to selže, přístupový bod izoluje a žádné nastavení VPN to nespraví. Pokud to uspěje, přejděte ke klientovi a spusťte ip route get 192.168.1.50 na Linuxu nebo Find-NetRoute -RemoteIPAddress 192.168.1.50 na Windows; výstup pojmenuje rozhraní, které paket použije.

Když trasa ukazuje na Wi-Fi rozhraní, paket odchází nešifrovaný a otázkou se stává, zda to přístupový bod a hostitelský firewall dovolí. Když trasa ukazuje na tunel, cíl se posílá na VPN server, což je pro zařízení ve stejné lokální síti špatně a obvykle znamená, že povolený seznam tunelu je příliš široký.

Přímé spojení na port tiskárny je lepší test než seznam zjišťování. nc -vz 192.168.1.50 9100 na Linuxu nebo Test-NetConnection 192.168.1.50 -Port 9100 v PowerShellu vám řekne, zda je adresa vůbec dostupná, dřív než do diskuze vstoupí párování na úrovni aplikace.

Vyberte opravu pro síť, ve které jste

V hotelové nebo hostovské síti je izolace záměrná a neměli byste se ji snažit obejít. Považujte místní zařízení za nedostupné, použijte VPN k dosažení hostitele, který umí tisknout nebo sdílet, a přestaňte SSID považovat za lokální síť.

Doma je vypnutí izolace na hlavním SSID rozumné, když jsou zařízení vaše, zatímco hostovské SSID zůstává izolované. Nastavení žije v bezdrátové konfiguraci přístupového bodu a patří tam, ne do výjimek firewallu na každém klientovi.

V kanceláři předpokládejte, že přístupový bod, VLAN i hostitelský firewall jsou záměrné. Eskalujte s výsledky testů, místo abyste žádali vypnutí izolace, protože síť, která odděluje klienty, obvykle něco chrání.

Ověřte aplikaci, ne jen ping

Úspěšný ping dokazuje cestu, ne službu. Tiskárny často přijímají syrový 9100 nebo IPP na 631, ale odmítají zjišťování, a sdílení souborů potřebuje 445 plus funkční překlad jmen. Potvrďte port, který aplikace používá, a pak zkuste skutečnou úlohu na zařízení znovu.

Držte obě vrstvy v poznámkách oddělené: co Wi-Fi síť dovoluje a co VPN směruje. Až příště zařízení zmizí ze seznamu, toto rozdělení vám řekne, kam se podívat nejdřív.