Segment cartref VPN-yn-unig: lladdwch y llwybr wrth gefn, nid yr SSID yn unig

Rydych chi'n rhoi'r SSID gwestai ar y VPN ac yn galw'r segment yn VPN-yn-unig. Yna mae'r twndl yn cwympo am ddwy funud ac mae'r dyfeisiau'n dychwelyd yn dawel i'r WAN arferol. Nid oedd unrhyw beth yn enw'r SSID wedi atal hynny. Mae segment VPN-yn-unig yn cael ei ddiffinio gan yr hyn sy'n digwydd pan nad yw'r twndl ar gael, nid gan label y rhwydwaith.

Mae'r label yn addewid; y polisi wrth gefn yw'r gorfodaeth.

Chwedl: yr SSID yw'r ffin

Nid yw SSID heb ei bolisi anfon ei hun yn ddim ond enw. Y ffin yw rhyngwyneb, VLAN neu is-rwydwaith ar wahân, gyda'i sgôp DHCP ei hun a'i reolau ei hun. Mae VLAN yn rhoi ffin anfon i chi na all enw Wi-Fi ei rhoi.

Mae ynysu cleientiaid yn rhan o'r dyluniad hefyd. Efallai y bydd angen i ddau ddyfais ar y segment siarad â'i gilydd, neu efallai na fydd, a dylai'r dewis hwnnw fod yn eglur yn hytrach na chael ei etifeddu o broffil gwestai.

Nodwch ryngwyneb ac ystod cyfeiriadau'r segment cyn i chi ysgrifennu un rheol. Mae'r un llinell honno'n atal y rhan fwyaf o'r dryswch diweddarach.

Chwedl: mae llwybr y twndl yn cwmpasu pob protocol

Gosodwch bolisi'r cadarnwedd ar y segment hwnnw fel bod ei draffig tuag at y rhyngrwyd yn defnyddio'r twndl. Ffurfweddwch yr anfon a'r cyfieithu o bell y mae'r twndl eu hangen. Cadwch yn unig y mynediad i adnoddau lleol y mae'r segment ei wir angen.

Gwiriwch y ddwy deulu cyfeiriadau. Os nad yw IPv6 yn cael ei gludo drwy'r twndl, rhaid i'r polisi ei drin, neu bydd dyfais sy'n gallu IPv6 yn dod o hyd i lwybr uniongyrchol na fwriadwyd gennych.

Mae allwedd stopio ar gyfer IPv4 yn unig gydag IPv6 wedi'i alluogi yn ffordd gyffredin o ollwng. Profwch gyda chleient sy'n gallu IPv6, nid yn unig gyda'r gliniadur sydd gennych wrth law.

Chwedl: mae DNS a phen y twndl yn dilyn y twndl

Gellir cynhyrchu DNS y llwybrydd yn lleol a dilyn tabl llwybro'r llwybrydd ei hun, nid polisi'r segment. Penderfynwch pa lwybr y dylai'r datryswr hwnnw ei ddefnyddio a beth mae'n ei wneud pan fydd y twndl yn methu. Mae cysylltiad pen y VPN ei hun yn eithriad arall: mae angen y llwybr allanol dogfennedig i'r cyfoed. Llwybrwch y cysylltiad hwnnw i'r twndl ac ni fydd yn gallu codi.

Cadwch weinyddiaeth adfer ar wahân i fynediad rhyngrwyd y segment. Os yw cyfoed wedi methu hefyd yn eich cloi allan o'r llwybrydd, rydych wedi troi toriad twndl yn ymweliad safle. Cadwch y mynediad hwnnw ar rwydwaith rheoli, nid ar y segment VPN-yn-unig.

Beth sy'n ei wneud yn VPN-yn-unig mewn gwirionedd

Blociwch anfon WAN arferol ar gyfer y segment pryd bynnag y bo'r twndl i lawr. Y rheol honno, nid yr SSID, sy'n gwneud y label yn wir. Profwch hi gyda thraffig diniwed o ddyfais ar y segment.

Cyflawnwch dri gwiriad: gweithrediad arferol drwy'r twndl, y prawf methiant a ganiateir gyda'r twndl i lawr, ac adferiad pan fydd yn dychwelyd. Cadarnhewch fod segment cartref arall yn cadw ei lwybr arfaethedig drwy'r amser. Dogfennwch unrhyw eithriadau uniongyrchol, neu bydd y label yn cuddio llwybrau na chofiwch mwyach.

Mae cofnod byr o'r segment, y twndl a ddewiswyd a'r eithriadau yn rhoi gwiriadau penodol i chi ar ôl i ddiweddariad cadarnwedd newid trefn rheolau neu ymddygiad y datryswr. Rysáit cleient WireGuard pfSense yn gyfeirnod defnyddiol ar gyfer ochr y twndl, nid yn ddisodliad am bolisi'r segment.