Wi-Fi-adgangspunkt bag en VPN-gateway: behold ét LAN

Broet adgangspunkt eller endnu et routet segment? Forskellen er, hvem der ejer adressering, DNS og tunnelen, og det afgør, hvor politikken bor.

Trådløse klienter kan sidde bag en VPN, uden at adgangspunktet ved noget om tunnelen. Bro radioen over på gatewayens LAN, lad gatewayen eje adressering og tunnel, og hver enhed på Wi-Fi'et arver samme politik. Alternativet, et andet routet segment med sin egen gateway, er et andet design med en anden fejltilstand.

De to forveksles, fordi begge sætter en boks mellem internettet og dine enheder. At sammenligne, hvad hver af dem ejer, er den hurtigste måde at vælge.

To måder at sætte VPN'en foran Wi-Fi

I et broet layout bærer adgangspunktet rammer mellem radioen og det kablede segment og intet andet: ét subnet, én adresseautoritet, én router der udfører politikken. I et routet layout har den anden boks sine egne adresser, sit eget DHCP-område og sin egen standardrute, så trafikken krydser endnu en grænse, før den når tunnelen. Det broede design får hver trådløs enhed til at se lokal ud for gatewayen, og derfor dækker ét regelsæt dem alle. Det routede design giver dig et segment at tænke over og et andet sted, hvor politikken kan gå galt.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Vælg broet, når kravet er, at trådløse enheder bruger samme tunnel som kablede. Vælg routet, når du vil have et segment, der kan isoleres, eller når den anden boks allerede findes som router.

Hvad det broede layout faktisk ændrer

Brotilslutning fjerner et oversættelseslag og en konkurrerende standardgateway og tilføjer et administrationsproblem. Adgangspunktet har stadig brug for en adresse, du kan nå, hvilket leverandørens arbejdsgang normalt ordner via hoved-LAN'et. Dets DHCP-tjeneste skal være slukket, ellers vil to autoriteter uddele modstridende lejemål. Gatewayen beholder tunnelen, resolver-indstillingerne og beslutningen om, hvad der sker, når tunnelen falder, så politikken bor præcis ét sted.

Radioen arver intet af det automatisk fra tunnelen. Den holder bare op med at tilføje lag, der ville sløre det.

Hvor et andet routet segment passer ind

Et routet segment fortjener sin kompleksitet, når enhederne bag det skal behandles anderledes end resten af LAN'et. Et gæstenetværk, et laboratorium eller en gruppe klienter, der altid skal ud gennem et bestemt land, er alle grunde til at sætte en router i vejen. Prisen er en anden adresseautoritet, en anden firewall der skal holdes konsistent, og en returrute fra hoved-LAN'et, hvis nogen der skal nå segmentet. Det er forpligtelser snarere end konfigurationsdetaljer.

Den almindelige fejl er at bygge den routede version ved et uheld ved at genbruge en router, der stadig kører sin egen DHCP og oversættelse. Det giver dobbelt oversættelse og en politik, ingen kan spore.

Test fra en Wi-Fi-klient, ikke fra gatewayen

En vellykket anmodning på gatewayen beviser, at tunnelen virker for gatewayen. Det egentlige spørgsmål er, om en trådløs klients videresendte trafik bruger den, og det skal observeres fra klienten. Kommandoerne nedenfor tjekker klientens adresse, dens rute og den adresse, en fjernetjeneste ser.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

En adresse inde i gatewayens LAN bekræfter, at broen sender rammer videre i stedet for at oversætte dem. En rute, hvis første hop er gatewayen, bekræfter, at klienten ikke har fået en anden standardrute fra et andet sted. Kontrollen af udgangsadressen besvarer det egentlige spørgsmål, og det korte spor viser, om de første hop er de forventede. Hvis klientens adresse kommer fra et andet område, er en vildfaren DHCP-server den første mistænkte.

Skriv hver bokses rolle, dens adresse og DHCP-autoriteten ned. Et diagram med tre linjer er nok, og det afgør de fleste diskussioner om, hvor en regel hører hjemme.

Relaterede artikler