Mae Wi-Fi gwesteion yn dal i ddefnyddio'r brif lwybr: rhowch allanfa ei hun iddo

Gwnaethoch rwydwaith gwesteion, ychwanegu llwybr ar ei gyfer, ac mae'r gwesteion yn dal i adael drwy eich cysylltiad rhyngrwyd arferol. Mae'r tiwnel i fyny, mae'r prif LAN yn gweithio, ac mae'r dyfeisiau gwesteion yn adrodd cyfeiriad yn yr amrediad a bennwyd gennych, felly nid oes dim yn edrych yn doredig. Yr hyn sydd fel arfer ar goll nid llwybr yw ond detholydd: mae'r llwybrydd yn penderfynu'r llwybr cyn iddo ystyried pa ryngwyneb y daeth y pecyn i mewn arno, ac oni bai bod rhywbeth yn cyfateb yn benodol i draffig gwesteion, mae'r traffig hwnnw'n etifeddu'r rhagosodiad. Yr atgyweiriad yw segment, rheol polisi a llwybr ateb, yn y drefn honno.

Y symptom: mae gwesteion yn dal i adael drwy'r WAN

Yr arwydd yw'r cyfeiriad allanfa. Bydd dyfais westai sy'n cyrraedd y rhyngrwyd drwy'r tiwnel yn adrodd cyfeiriad darparwr y tiwnel, a bydd un sydd wedi etifeddu'r rhagosodiad yn adrodd eich cysylltiad arferol. Cymharwch ddyfais westai a dyfais prif LAN ochr yn ochr, oherwydd yr achos diddorol yw pan fyddant yn wahanol i'r hyn a ffurfweddwyd gennych ac yn cyfateb i'w gilydd.

Yr ail arwydd yw absenoldeb unrhyw draffig ar ryngwyneb y tiwnel tra bo gwesteion yn pori. Os nad yw'r rhifyddion yn symud, ni chafodd y polisi ei gymhwyso erioed, ac ni all addasu'r tiwnel ei hun helpu.

Cam 1: gwir segment, nid enw yn unig

Nid yw enw SSID yn creu arwahanrwydd. Gwiriwch fod y rhwydwaith gwesteion yn gorffen ar ei ryngwyneb, VLAN neu bont ei hun, a bod yr amrediad cyfeiriadau'n wahanol i'r LAN dibynadwy. Ar lawer o bwyntiau mynediad defnyddwyr, mae'r SSID gwesteion yn cael ei bontio i'r un segment â phopeth arall, sy'n gwneud gweddill y gwaith hwn yn amhosibl nes bod hynny'n cael ei gywiro.

Yna cadarnhewch amrediad y gwesteion a'i weinydd DHCP, a chadwch osodiadau'r datryswr yn gysylltiedig â'r segment hwnnw yn hytrach na'r llwybrydd cyfan. Nid yw is-rwydwaith gwesteion sy'n bodoli dim ond fel sylw mewn rheol wal dân yn segment, ac ni fydd gan y llwybrydd ryngwyneb i gyfateb ag ef.

Peidiwch â phontio gwesteion i'r prif LAN i wneud y VPN yn haws i'w ffurfweddu. Mae hynny'n cyfnewid yr arwahanrwydd yr oeddech ei eisiau am lwybr byr mewn llwybro, a dyna'r rheswm arferol pam mae rhwydwaith gwesteion yn gorffen gyda mynediad at yr argraffydd a'r NAS.

Cam 2: dewiswch y tiwnel yn ôl ffynhonnell

Dewisir tablau llwybro yn ôl cyrchfan, felly mae rheol sy'n dweud anfon 0.0.0.0/0 i'r tiwnel yn berthnasol i bawb. Mae llwybro polisi yn ychwanegu ail ddimensiwn: dewiswch y tabl yn ôl cyfeiriad ffynhonnell. Ar lwybrydd sy'n seiliedig ar Linux, mae hynny'n rheol ychwanegol ynghyd â thabl penodol, ac mae'r drefn o bwys oherwydd y rheol gyfatebol gyntaf sy'n ennill:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Mae'r gorchymyn olaf hwnnw'n ateb y cwestiwn yn uniongyrchol: pa ryngwyneb y bydd y ffynhonnell hon yn ei ddefnyddio ar gyfer y gyrchfan hon. Rhedwch ef cyn ac ar ôl y newid a byddwch yn gwybod a ddaeth y polisi i rym heb gyffwrdd â phorwr.

Mae'r rhan fwyaf o firmware llwybrydd yn mynegi'r un peth fel rheol ryngwyneb neu ddewis porth yn seiliedig ar ffynhonnell. Pa bynnag gystrawen y mae eich platfform yn ei defnyddio, mae'r egwyddor yn un: cyfatebwch y rhyngwyneb mynediad neu'r rhagddodiad ffynhonnell, yna trosoddwch y llwybr ar gyfer y cyfateb hwnnw'n unig. Ni all rheol a gyfatebir yn ôl cyrchfan wahaniaethu gwestai oddi wrth ddyfais y cartref.

Cam 3: y llwybr ateb a'r cyfieithu

Rhaid i becyn sy'n gadael drwy'r tiwnel ddod yn ôl. Naill ai mae partner y tiwnel yn gwybod llwybr yn ôl i ragddodiad y gwesteion, neu mae'r llwybrydd yn cyfieithu ffynhonnell y gwesteion i gyfeiriad y tiwnel. Dewiswch un a'i nodi, oherwydd mae'r dulliau methu'n edrych yn wahanol: mae llwybr dychwelyd ar goll yn rhoi cysylltiad sy'n sefydlu ac nad yw byth yn ateb, tra nad yw cyfieithu ar goll yn aml yn cynhyrchu dim o gwbl.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Os dewiswch gyfieithu, cofiwch fod y partner nawr yn gweld un cyfeiriad ar gyfer pob gwestai, felly mae unrhyw bolisi fesul cleient yn y pen pellaf wedi mynd. Os cadwch gyfeiriadau yn lle hynny, mae angen rhagddodiad y gwesteion ar y ddau ben yn eu llwybro a'u polisi, sy'n fwy o waith ac yn fwy rhagweladwy.

Mae angen rheol ei hun ar IPv6. Nid yw polisi a ysgrifennwyd ar gyfer IPv4 yn cwmpasu'r teulu arall, a bydd dyfais westai ag IPv6 gweithredol yn ei ddefnyddio'n fodlon tra bo eich llwybr IPv4 a lwybrwyd yn ofalus yn segur. Naill ai llwybrwch y ddau deulu neu analluogwch IPv6 ar y segment gwesteion, ond peidiwch â thybio bod y rheol gyfunol a ysgrifennwyd gennych yn cwmpasu'r hyn y mae'r ddyfais yn ei wneud mewn gwirionedd. Profwch gyda chleient sydd â'r ddau deulu wedi'u galluogi, oherwydd dyna'r achos y mae'n rhaid i'r dyluniad ei ddioddef. Mae gliniadur sy'n ffafrio IPv6 yn edrych yn gywir mewn prawf IPv4 yn unig ac yn gollwng yn yr un go iawn.

Profwch yr arwahanrwydd, nid y pori yn unig

Mae pori yn profi bod yr allanfa wedi newid. Nid yw'n profi bod y segment wedi'i arwahanu, a'r arwahanrwydd yw'r rheswm bod y rhwydwaith gwesteion yn bodoli. O ddyfais westai, ceisiwch gyrraedd rhyngwyneb gweinyddu'r llwybrydd, gwesteiwr LAN dibynadwy a gwasanaeth y dylid ei wrthod; dylai'r tri fethu, a dylai'r methiant fod yn benderfyniad polisi yn hytrach nag yn amserlen dawel na all neb ei hesbonio.

Yna profwch ddyfais prif LAN a chadarnhau na newidiodd ei hallanfa. Dyma'r atchweliad y mae'r dyluniad hwn yn ei achosi amlaf: rheol eang a fwriadwyd ar gyfer gwesteion, wedi'i chymhwyso i bob rhyngwyneb oherwydd bod y cyfateb wedi'i ysgrifennu ar y gyrchfan.

Yn olaf, penderfynwch beth sy'n digwydd pan fydd y tiwnel i lawr. Naill ai nid yw gwesteion yn cael rhyngrwyd neu maent yn dychwelyd at lwybr a gymeradwywch, ac mae gadael hynny'n amhenderfynol yn golygu dychweliad tawel at y cysylltiad arferol, sef yn union y gollyngiad yr oedd y polisi gwesteion i fod i'w atal. y rysáit ar gyfer llwybro traffig rhyngrwyd yn esbonio'r un dewis llwybr ar gyfer llwybrydd sy'n seiliedig ar pfSense.

DNS sy'n deillio o'r llwybrydd yw'r achos sy'n synnu pobl olaf. Os yw gwesteion yn defnyddio'r llwybrydd fel eu datryswr, mae ymholiadau'r llwybrydd ei hun yn dilyn llwybr y llwybrydd yn hytrach na rheol y gwesteion, felly gall chwiliadau adael drwy'r cysylltiad arferol tra nad yw traffig cymhwysiadau yn gwneud hynny. Cadwch y segment, y datryswr a'r polisi methu mewn un nodyn, a gall y person nesaf wirio'r tri heb aildarddu'r dyluniad.