Unigedd cleientiaid Wi-Fi yn erbyn mynediad lleol VPN: beth sy'n eich blocio

Rhowch ddau ffôn ar yr un SSID gwestai ac ni all y naill weld y llall, eto mae'r ddau yn cyrraedd y rhyngrwyd. Ychwanegwch gleient VPN ar un ohonynt ac mae'r argraffydd dair metr i ffwrdd yn parhau'n anweledig tra bo gweinydd ar gyfandir arall yn ateb pings. Nid oes dim wedi torri yn y twnnel; mae dau benderfyniad mynediad ar wahân yn gysylltiedig, a dim ond un ohonynt yn ymwneud â llwybro. Mae'r pwynt mynediad yn penderfynu a all cleientiaid di-wifr siarad â'i gilydd, ac mae'r cleient VPN yn penderfynu pa gyrchfannau sy'n gadael drwy'r twnnel. Mae cymysgu'r ddau yn cynhyrchu oriau o newidiadau cyfluniad di-fudd.

Mae'r ddwy giât yn annibynnol

Penderfyniad newid yw unigedd cleientiaid. Mae'r pwynt mynediad yn derbyn ffrâm o un orsaf gysylltiedig, yn edrych ar y gyrchfan, yn sylwi mai gorsaf arall ar yr un bont yw'r gyrchfan, ac yn ei gollwng. Nid yw cyfeiriad IP yr orsaf yn berthnasol i'r penderfyniad hwnnw, ac nid yw'r VPN chwaith.

Penderfyniad gwahanol a wneir ar y cleient yw llwybro. Mae tabl llwybrau'r VPN yn penderfynu a yw pecyn ar gyfer 192.168.1.50 yn mynd i'r twnnel neu'n gadael drwy'r rhyngwyneb Wi-Fi. Os yw'r pecyn yn gadael drwy Wi-Fi ac mae'r pwynt mynediad yn ynysu cleientiaid, mae'n marw yn y pwynt mynediad. Os yw'r pecyn yn mynd i'r twnnel, ni wel y pwynt mynediad y gyrchfan wreiddiol byth ac ni all ynysu dim.

Yr hyn y mae unigedd yn ei flocio ar bwynt mynediad nodweddiadol

Mae gwerthwyr yn ei gyflwyno dan sawl enw: unigedd cleientiaid, unigedd AP, unigedd gorsafoedd, neu rwydwaith gwestai sy'n awgrymu hynny. Yn OpenWrt y dewisiad ar gyfer pob rhyngwyneb yw isolate y tu mewn i'r cyfluniad di-wifr, fel y disgrifir yn y ddogfennaeth ddi-wifr, ac mae SSID gwestai fel arfer yn cael ei bont a'i barth firewall ei hun. Yr effaith yw nad yw fframiau unicast rhwng cleientiaid yn cael eu pontio, felly mae ping, cysylltiad SMB neu dasg argraffu i gymydog yn methu er bod y ddau ddyfais yn dangos signal llawn.

Mae protocolau darganfod yn dioddef gyntaf ac yn fwyaf amlwg. Mae mDNS ar gyfer argraffyddion a dyfeisiau cyfryngau yn teithio drwy multicast i 224.0.0.251, mae SSDP yn defnyddio 239.255.255.250, ac mae a yw'r fframiau hynny'n croesi'r bont yn dibynnu ar y gwerthwr ac ar a yw trosi multicast-i-unicast wedi'i alluogi. Mae dyfais ar goll o restr yn dystiolaeth wannach na chysylltiad uniongyrchol wedi methu â chyfeiriad hysbys.

Yr hyn y mae VPN yn ei newid, a'r hyn na all ei newid

Mae twnnel llawn yn cymryd y llwybr diofyn, felly dim ond os yw'r cleient yn cadw llwybr mwy penodol ar eu cyfer y cyrchir isrwydweithiau lleol. Mae twneli hollt yn gwneud y gwrthwyneb ac yn cadw mynediad lleol yn ôl eu cynllun. Ni all y naill na'r llall orfodi pwynt mynediad sy'n ynysu i anfon ffrâm rhwng dau o'i gleientiaid, a dyna pam mae caniatáu traffig lleol yn y cleient VPN yn angenrheidiol ond heb fod yn ddigonol.

Mae'r achos gwrthwyneb yr un mor gyffredin. Mae'r pwynt mynediad yn caniatáu traffig cymheiriaid, mae'r cleient VPN yn eithrio'r isrwydwaith lleol o'r twnnel, ac mae'r argraffydd yn dal i beidio ag ateb oherwydd bod firewall y gwesteiwr yn trin y rhwydwaith Wi-Fi fel un cyhoeddus. Tair haen, tri diofyn gwahanol, a dim ond y llwybr yn weladwy yn rhan fwyaf o logiau VPN.

Canfyddwch pa giât sydd ar gau

Dechreuwch â phrawf sy'n tynnu'r VPN o'r darlun: cysylltwch ddau ddyfais cyffredin â'r un SSID a cheisiwch gyrraedd y naill o'r llall drwy gyfeiriad. Os bydd hynny'n methu, mae'r pwynt mynediad yn ynysu ac ni fydd unrhyw osodiad VPN yn ei drwsio. Os bydd yn llwyddo, ewch at y cleient a rhedwch ip route get 192.168.1.50 ar Linux neu Find-NetRoute -RemoteIPAddress 192.168.1.50 ar Windows; mae'r allbwn yn enwi'r rhyngwyneb y bydd y pecyn yn ei ddefnyddio.

Pan fydd y llwybr yn pwyntio at y rhyngwyneb Wi-Fi, mae'r pecyn yn gadael heb ei amgryptio a'r cwestiwn yw a yw'r pwynt mynediad a firewall y gwesteiwr yn caniatáu hynny. Pan fydd y llwybr yn pwyntio at y twnnel, mae'r gyrchfan yn cael ei hanfon at weinydd VPN, sy'n anghywir ar gyfer dyfais ar yr un LAN ac fel arfer yn golygu bod rhestr a ganiateir y twnnel yn rhy eang.

Mae cysylltiad uniongyrchol â phorth yr argraffydd yn brawf gwell na rhestr darganfod. Mae nc -vz 192.168.1.50 9100 ar Linux neu Test-NetConnection 192.168.1.50 -Port 9100 yn PowerShell yn dweud wrthych a yw'r cyfeiriad yn gyrraeddadwy o gwbl, cyn i unrhyw baru ar lefel cymhwysiad ddod i'r drafodaeth.

Dewiswch y cywiriad ar gyfer y rhwydwaith rydych ynddo

Ar rwydwaith gwesty neu westai, mae unigedd yn fwriadol ac ni ddylech geisio ei drechu. Triniwch y ddyfais leol fel un na ellir ei chyrraedd, defnyddiwch y VPN i gyrraedd gwesteiwr sy'n gallu argraffu neu rannu, a stopiwch drin yr SSID fel LAN.

Gartref, mae analluogi unigedd ar y prif SSID yn rhesymol pan fo'r dyfeisiau yn eiddo i chi, tra bo'r SSID gwestai yn parhau'n ynysig. Mae'r gosodiad yn byw yng nghyfluniad di-wifr y pwynt mynediad, ac mae'n perthyn yno yn hytrach nag mewn eithriadau firewall ar bob cleient.

Mewn swyddfa, cymerwch fod y pwynt mynediad, y VLAN a firewall y gwesteiwr i gyd yn fwriadol. Esgalwch gyda chanlyniadau'r profion yn hytrach na gofyn i unigedd gael ei ddiffodd, oherwydd mae rhwydwaith sy'n gwahanu cleientiaid fel arfer yn amddiffyn rhywbeth.

Gwirwch y rhaglen, nid y ping yn unig

Mae ping llwyddiannus yn profi'r llwybr, nid y gwasanaeth. Mae argraffyddion yn aml yn derbyn 9100 crai neu IPP ar 631 ond yn gwrthod darganfod, ac mae rhannu ffeiliau angen 445 ynghyd â datrysiad enwau sy'n gweithio. Cadarnhewch y porth y mae'r rhaglen yn ei ddefnyddio, yna ceisiwch y dasg wirioneddol ar y ddyfais eto.

Cadwch y ddwy haen ar wahân yn eich nodiadau: beth mae'r rhwydwaith Wi-Fi yn ei ganiatáu, a beth mae'r VPN yn ei lwybro. Y tro nesaf y bydd dyfais yn diflannu o restr, bydd y rhaniad hwnnw'n dweud wrthych ble i edrych gyntaf.