Wi-Fi-klientisolering kontra lokal VPN-adgang: hvad der blokerer dig

Sæt to telefoner på samme gæste-SSID, og ingen af dem kan se den anden, men begge når internettet. Tilføj en VPN-klient på den ene, og printeren tre meter væk forbliver usynlig, mens en server på et andet kontinent svarer på ping. Intet er i stykker i tunnelen; der er to separate adgangsbeslutninger involveret, og kun én af dem handler om routing. Adgangspunktet afgør, om trådløse klienter må tale sammen, og VPN-klienten afgør, hvilke destinationer der forlader tunnelen. At forveksle de to giver timer med formålsløse konfigurationsændringer.

De to porte er uafhængige

Klientisolering er en switchbeslutning. Adgangspunktet accepterer en ramme fra én associeret station, ser på destinationen, bemærker at destinationen er en anden station på samme bro, og dropper den. Stationens IP-adresse er irrelevant for den beslutning, og det er VPN'en også.

Routing er en anden beslutning, truffet på klienten. VPN'ens rutetabel afgør, om en pakke til 192.168.1.50 går ind i tunnelen eller forlader via Wi-Fi-interfacet. Hvis pakken forlader via Wi-Fi, og adgangspunktet isolerer klienter, dør den ved adgangspunktet. Hvis pakken går ind i tunnelen, ser adgangspunktet aldrig den oprindelige destination og kan ikke isolere noget.

Hvad isolering blokerer på et typisk adgangspunkt

Producenter leverer dette under flere navne: klientisolering, AP-isolering, stationsisolering eller et gæstenetværk, der antyder det. I OpenWrt er indstillingen for hvert interface isolate inde i den trådløse konfiguration, som beskrevet i den trådløse dokumentation, og et gæste-SSID får normalt sin egen bro og firewallzone. Effekten er, at unicast-rammer mellem klienter ikke broes, så et ping, en SMB-forbindelse eller et printjob til en nabo fejler, selv om begge enheder viser fuld signalstyrke.

Opdagelsesprotokoller lider først og mest synligt. mDNS til printere og medieenheder kører multicast til 224.0.0.251, SSDP bruger 239.255.255.250, og om disse rammer krydser broen afhænger af producenten og af, om multicast-til-unicast-konvertering er slået til. En enhed, der mangler på en liste, er svagere bevis end en mislykket direkte forbindelse til en kendt adresse.

Hvad VPN'en ændrer, og hvad den ikke kan ændre

En fuld tunnel overtager standardruten, så lokale subnets nås kun, hvis klienten beholder en mere specifik rute til dem. Split tunnels gør det modsatte og bevarer lokal adgang per design. Ingen af indstillingerne kan få et isolerende adgangspunkt til at videresende en ramme mellem to af dets klienter, og derfor er tilladelse af lokal trafik i VPN-klienten nødvendig, men ikke tilstrækkelig.

Det omvendte tilfælde er lige så almindeligt. Adgangspunktet tillader peer-trafik, VPN-klienten udelukker det lokale subnet fra tunnelen, og printeren svarer stadig ikke, fordi værtens firewall behandler Wi-Fi-netværket som offentligt. Tre lag, tre forskellige standarder, og kun ruten er synlig i de fleste VPN-logs.

Find ud af, hvilken port der er lukket

Start med en test, der fjerner VPN'en fra billedet: forbind to almindelige enheder til samme SSID, og prøv at nå den ene fra den anden via adresse. Hvis det fejler, isolerer adgangspunktet, og ingen VPN-indstilling vil rette det. Hvis det lykkes, gå til klienten og kør ip route get 192.168.1.50 på Linux eller Find-NetRoute -RemoteIPAddress 192.168.1.50 på Windows; outputtet navngiver det interface, pakken vil bruge.

Når ruten peger på Wi-Fi-interfacet, forlader pakken ukrypteret, og spørgsmålet bliver, om adgangspunktet og værtens firewall tillader det. Når ruten peger på tunnelen, sendes destinationen til VPN-serveren, hvilket er forkert for en enhed på samme LAN og normalt betyder, at tunnelens tilladte liste er for bred.

En direkte forbindelse til printerens port er en bedre test end en opdagelsesliste. nc -vz 192.168.1.50 9100 på Linux eller Test-NetConnection 192.168.1.50 -Port 9100 i PowerShell fortæller dig, om adressen overhovedet kan nås, før nogen parring på applikationsniveau kommer ind i diskussionen.

Vælg løsningen til det netværk, du er på

På et hotel- eller gæstenetværk er isolering bevidst, og du bør ikke prøve at omgå den. Behandl den lokale enhed som utilgængelig, brug VPN'en til at nå en vært, der kan printe eller dele, og hold op med at behandle SSID'et som et LAN.

Derhjemme er det rimeligt at slå isolering fra på det primære SSID, når enhederne er dine, mens gæste-SSID'et forbliver isoleret. Indstillingen bor i adgangspunktets trådløse konfiguration, og den hører der frem for i firewallundtagelser på hver klient.

På en kontorplads skal du antage, at adgangspunktet, VLAN'et og værtens firewall alle er bevidste. Eskaler med testresultaterne i stedet for at bede om at få isoleringen slået fra, fordi et netværk, der adskiller klienter, normalt beskytter noget.

Verificér applikationen, ikke bare ping

Et vellykket ping beviser vejen, ikke tjenesten. Printere accepterer ofte rå 9100 eller IPP på 631, men afviser opdagelse, og en filshare kræver 445 plus fungerende navneopløsning. Bekræft den port, applikationen bruger, og prøv derefter den faktiske opgave på enheden igen.

Hold de to lag adskilt i dine noter: hvad Wi-Fi-netværket tillader, og hvad VPN'en ruter. Næste gang en enhed forsvinder fra en liste, fortæller den opdeling dig, hvor du skal kigge først.