Pwynt mynediad Wi-Fi y tu ôl i borth VPN: cadwch un LAN

Gall cleientiaid di-wifr eistedd y tu ôl i VPN heb i’r pwynt mynediad wybod dim am y twnnel. Pontiwch y radio i LAN y borth, gadewch i’r borth berchen ar gyfeiriannu a’r twnnel, ac mae pob dyfais ar y Wi-Fi yn etifeddu’r un polisi. Y dewis arall, ail segment llwybryddol gyda’i borth ei hun, yw dyluniad gwahanol gyda dull methu gwahanol.

Mae’r ddau’n cael eu drysu oherwydd bod y ddau’n rhoi blwch rhwng y rhyngrwyd a’ch dyfeisiau. Cymharu’r hyn y mae pob un yn berchen arno yw’r ffordd gyflymaf i ddewis.

Dwy ffordd i roi’r VPN o flaen Wi-Fi

Mewn cynllun pontiedig mae’r pwynt mynediad yn cario ffrâmau rhwng y radio a’r segment gwifrog a dim arall: un is-rwydwaith, un awdurdod cyfeiriadau, un llwybrydd yn gweithredu’r polisi. Mewn cynllun llwybryddol mae gan yr ail flwch ei gyfeiriadau ei hun, ei gwmpas DHCP ei hun a’i lwybr diofyn ei hun, felly mae traffig yn croesi ffin arall cyn cyrraedd y twnnel. Mae’r dyluniad pontiedig yn gwneud pob dyfais ddi-wifr yn lleol i’r borth, a dyna pam mae un set o reolau’n eu cynnwys i gyd. Mae’r dyluniad llwybryddol yn rhoi segment i chi feddwl amdano a man arall lle gall y polisi fynd o’i le.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Dewiswch y pontiedig pan fo’r gofyniad yn bod dyfeisiau di-wifr yn defnyddio’r un twnnel â’r rhai gwifrog. Dewiswch lwybryddol pan fyddwch am segment y gellir ei ynysu, neu pan fo’r ail flwch eisoes yn bodoli fel llwybrydd.

Beth mae’r cynllun pontiedig yn ei newid mewn gwirionedd

Mae pontio’n tynnu haen gyfieithu a phorth diofyn gystadleuol, ac mae’n ychwanegu problem rheoli. Mae’r pwynt mynediad yn dal i fod angen cyfeiriad y gallwch gyrraedd ato, y mae llif gwaith y gwerthwr fel arfer yn ei drefnu drwy’r prif LAN. Rhaid i’w wasanaeth DHCP fod wedi’i ddiffodd, neu bydd dau awdurdod yn dosbarthu lesau gwrthgyferbyniol. Mae’r borth yn cadw’r twnnel, gosodiadau’r datryswr a’r penderfyniad am yr hyn sy’n digwydd pan fydd y twnnel yn disgyn, felly mae’r polisi’n byw mewn un man yn union.

Nid yw’r radio’n etifeddu dim o hynny’n awtomatig o’r twnnel. Mae’n syml yn rhoi’r gorau i ychwanegu haenau a fyddai’n ei guddio.

Ble mae ail segment llwybryddol yn ffitio

Mae segment llwybryddol yn haeddu ei gymhlethdod pan fydd dyfeisiau y tu ôl iddo angen triniaeth wahanol i weddill y LAN. Mae rhwydwaith gwestai, labordy, neu set o gleientiaid y mae’n rhaid iddynt bob amser fynd allan drwy wlad benodol i gyd yn rhesymau dros roi llwybrydd yn y llwybr. Y gost yw ail awdurdod cyfeiriadau, ail mur tanio i’w gadw’n gyson, a llwybr dychwelyd o’r prif LAN os oes angen i rywun yno gyrraedd y segment. Rhwymedigaethau yw’r rhain yn hytrach na manylion ffurfweddu.

Y camgymeriad cyffredin yw adeiladu’r fersiwn llwybryddol ar ddamwain, gan ailddefnyddio llwybrydd sy’n dal i redeg ei DHCP a’i gyfieithu ei hun. Mae hynny’n cynhyrchu cyfieithu dwbl a pholisi na all neb ei olrhain.

Profwch o gleient Wi-Fi, nid o’r borth

Mae cais llwyddiannus ar y borth yn profi bod y twnnel yn gweithio i’r borth. Y cwestiwn go iawn yw a yw traffig anfon ymlaen cleient di-wifr yn ei ddefnyddio, ac mae’n rhaid arsylwi hynny o’r cleient. Mae’r gorchmynion isod yn gwirio cyfeiriad y cleient, ei lwybr, a’r cyfeiriad y mae gwasanaeth o bell yn ei weld.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Mae cyfeiriad y tu mewn i LAN y borth yn cadarnhau bod y bont yn pasio ffrâmau yn hytrach na’u cyfieithu. Mae llwybr y mae ei gam cyntaf yn y borth yn cadarnhau nad yw’r cleient wedi cael ail lwybr diofyn o rywle arall. Mae’r gwiriad cyfeiriad gadael yn ateb y cwestiwn go iawn, ac mae’r trywydd byr yn dangos a yw’r camau cyntaf yn rhai disgwyliedig. Os daw cyfeiriad y cleient o gwmpas gwahanol, gweinydd DHCP crwydrol yw’r prif amheuyn.

Nodwch rôl pob blwch, ei gyfeiriad a’r awdurdod DHCP. Mae diagram â thair llinell yn ddigon, ac mae’n setlo’r rhan fwyaf o ddadleuon ynghylch ble mae rheol yn perthyn.