Hjemmesegment kun til VPN: slå fallback fra, ikke bare SSID'et

Du sætter gæste-SSID'et på VPN'et og kalder segmentet kun-VPN. Så falder tunnelen i to minutter, og enhederne vender stille tilbage til det almindelige WAN. Intet i SSID-navnet forhindrede det. Et kun-VPN-segment defineres af, hvad der sker, når tunnelen ikke er tilgængelig, ikke af netværkets etiket.

Etiketten er et løfte; fallback-politikken er håndhævelsen.

Myte: SSID'et er grænsen

Et SSID uden sin egen videresendelsespolitik er bare et navn. Grænsen er et separat interface, et VLAN eller et subnet med sit eget DHCP-område og sine egne regler. Et VLAN giver dig en videresendelsesgrænse, som et Wi-Fi-navn ikke kan give.

Klientisolering hører også med i designet. To enheder på segmentet kan have brug for at tale sammen, eller de kan ikke, og det valg bør være eksplicit i stedet for at være arvet fra en gæsteprofil.

Skriv segmentets interface og adresseområde ned, før du skriver en enkelt regel. Den ene linje forhindrer det meste af den senere forvirring.

Myte: tunnelruten dækker alle protokoller

Anvend firmwarens politik på segmentet, så dets internettrafik bruger tunnelen. Konfigurer den fjernvideresendelse og -oversættelse, som tunnelen kræver. Behold kun den lokale ressourceadgang, som segmentet faktisk har brug for.

Kontroller begge adressefamilier. Hvis IPv6 ikke føres gennem tunnelen, skal politikken håndtere det, ellers finder en IPv6-kapabel enhed en direkte rute, du ikke havde tænkt på.

En kun-IPv4 kill switch med IPv6 aktiveret er en almindelig måde at lække på. Test med en IPv6-kapabel klient, ikke kun med den bærbare computer, du har ved hånden.

Myte: DNS og tunnelendepunktet følger tunnelen

Router-DNS kan genereres lokalt og følge routerens egen routingtabel, ikke segmentets politik. Beslut, hvilken vej den resolver skal bruge, og hvad den gør, når tunnelen fejler. VPN'ets egen endepunktsforbindelse er en anden undtagelse: den har brug for den dokumenterede ydre rute til peeren. Send den forbindelse ind i tunnelen, og den kan ikke komme op.

Hold genopretningsadministration adskilt fra segmentets internetadgang. Hvis en fejlet peer også låser dig ude af routeren, har du gjort et tunneludfald til et besøg på stedet. Hold den adgang på et administrationsnetværk, ikke på kun-VPN-segmentet.

Hvad gør det egentlig til kun-VPN

Bloker almindelig WAN-videresendelse for segmentet, når tunnelen er nede. Det er den regel, ikke SSID'et, der gør etiketten sand. Test det med harmløs trafik fra en enhed på segmentet.

Kør tre kontroller: normal drift gennem tunnelen, den tilladte fejltest med tunnelen nede, og genopretning, når den vender tilbage. Bekræft, at et andet husstandsegment hele tiden beholder sin tilsigtede rute. Dokumentér eventuelle direkte undtagelser, ellers skjuler etiketten ruter, du ikke længere husker.

En kort registrering af segmentet, den valgte tunnel og undtagelserne giver dig konkrete kontroller, efter en firmwareopdatering ændrer regelrækkefølge eller resolveradfærd. pfSense WireGuard-klientopsætningen er en nyttig reference for tunnelsiden, ikke en erstatning for segmentpolitikken.