Nur-VPN-Heimsegment: den Rückfall abschalten, nicht nur die SSID

Sie legen das Gast-SSID ins VPN und nennen das Segment Nur-VPN. Dann fällt der Tunnel zwei Minuten lang aus, und die Geräte kehren still zum gewöhnlichen WAN zurück. Nichts im SSID-Namen hat das verhindert. Ein Nur-VPN-Segment definiert sich dadurch, was passiert, wenn der Tunnel nicht verfügbar ist, nicht durch das Etikett des Netzwerks.

Das Etikett ist ein Versprechen; die Rückfallrichtlinie ist die Durchsetzung.

Mythos: Die SSID ist die Grenze

Ein SSID ohne eigene Weiterleitungsrichtlinie ist nur ein Name. Die Grenze ist eine eigene Schnittstelle, ein VLAN oder Subnetz mit eigenem DHCP-Bereich und eigenen Regeln. Ein VLAN liefert eine Weiterleitungsgrenze, die ein Wi-Fi-Name nicht liefern kann.

Client-Isolation gehört ebenfalls zum Entwurf. Zwei Geräte im Segment müssen vielleicht miteinander reden, vielleicht auch nicht, und diese Wahl sollte ausdrücklich sein statt von einem Gastprofil geerbt.

Schreiben Sie Schnittstelle und Adressbereich des Segments auf, bevor Sie eine einzige Regel schreiben. Diese eine Zeile verhindert den größten Teil der späteren Verwirrung.

Mythos: Die Tunnelroute deckt jedes Protokoll ab

Wenden Sie die Firmware-Richtlinie auf dieses Segment an, damit sein internetgebundener Verkehr den Tunnel nutzt. Konfigurieren Sie die Weiterleitung und Übersetzung, die der Tunnel im entfernten Netz benötigt. Behalten Sie nur den lokalen Ressourcenzugriff, den das Segment wirklich braucht.

Prüfen Sie beide Adressfamilien. Wird IPv6 nicht durch den Tunnel geführt, muss die Richtlinie damit umgehen, sonst findet ein IPv6-fähiges Gerät eine direkte Route, die Sie nicht beabsichtigt haben.

Ein Kill Switch nur für IPv4 bei aktiviertem IPv6 ist ein häufiger Weg, um zu leaken. Testen Sie mit einem IPv6-fähigen Client, nicht nur mit dem Laptop, den Sie gerade zur Hand haben.

Mythos: DNS und Tunnelendpunkt folgen dem Tunnel

Router-DNS kann lokal erzeugt werden und der eigenen Routingtabelle des Routers folgen, nicht der Richtlinie des Segments. Legen Sie fest, welchen Weg dieser Resolver nehmen soll und was er tut, wenn der Tunnel ausfällt. Die eigene Endpunktverbindung des VPN ist eine weitere Ausnahme: Sie braucht die dokumentierte äußere Route zum Peer. Leiten Sie diese Verbindung in den Tunnel, und sie kommt nicht hoch.

Halten Sie die Wiederherstellungsverwaltung getrennt vom Internetzugang des Segments. Wenn ein ausgefallener Peer Sie auch noch vom Router aussperrt, haben Sie einen Tunnelausfall in einen Vor-Ort-Besuch verwandelt. Halten Sie diesen Zugang in einem Managementnetz, nicht im Nur-VPN-Segment.

Was es wirklich zu Nur-VPN macht

Blockieren Sie die gewöhnliche WAN-Weiterleitung für das Segment, wann immer der Tunnel unten ist. Diese Regel, nicht die SSID, macht das Etikett wahr. Testen Sie sie mit harmlosem Verkehr von einem Gerät im Segment.

Führen Sie drei Prüfungen durch: Normalbetrieb durch den Tunnel, den erlaubten Ausfalltest bei unten liegendem Tunnel und die Wiederherstellung, wenn er zurückkommt. Bestätigen Sie, dass ein anderes Haushaltssegment durchgehend seine vorgesehene Route behält. Dokumentieren Sie alle direkten Ausnahmen, sonst verbirgt das Etikett Pfade, an die Sie sich nicht mehr erinnern.

Eine kurze Aufzeichnung von Segment, gewähltem Tunnel und Ausnahmen gibt Ihnen konkrete Prüfungen, nachdem ein Firmware-Update die Regelreihenfolge oder das Resolververhalten geändert hat. Die pfSense-WireGuard-Client-Anleitung ist eine nützliche Referenz für die Tunnelseite, kein Ersatz für die Segmentrichtlinie.