Wi-Fi-Access-Point hinter einem VPN-Gateway: ein LAN beibehalten

Gebrückter Access Point oder zweites geroutetes Segment? Der Unterschied liegt darin, wer Adressierung, DNS und Tunnel besitzt, und das entscheidet, wo die Richtlinie lebt.

Drahtlose Clients können hinter einem VPN sitzen, ohne dass der Access Point etwas über den Tunnel weiß. Brücken Sie das Funkmodul in das LAN des Gateways, lassen Sie das Gateway Adressierung und Tunnel besitzen, und jedes Gerät im WLAN erbt dieselbe Richtlinie. Die Alternative, ein zweites geroutetes Segment mit eigenem Gateway, ist ein anderes Design mit einem anderen Fehlermodus.

Die beiden werden verwechselt, weil beide eine Box zwischen das Internet und Ihre Geräte stellen. Zu vergleichen, was jedes besitzt, ist der schnellste Weg zur Entscheidung.

Zwei Wege, das VPN vor das WLAN zu setzen

In einem gebrückten Aufbau trägt der Access Point Frames zwischen Funkmodul und verkabeltem Segment und sonst nichts: ein Subnetz, eine Adressautorität, ein Router, der die Richtlinie umsetzt. In einem gerouteten Aufbau hat die zweite Box eigene Adressen, einen eigenen DHCP-Bereich und eine eigene Standardroute, sodass der Verkehr eine weitere Grenze überquert, bevor er den Tunnel erreicht. Das gebrückte Design lässt jedes Drahtlosgerät für das Gateway lokal erscheinen, weshalb ein Regelsatz alle abdeckt. Das geroutete Design gibt Ihnen ein Segment zum Nachdenken und einen zweiten Ort, an dem die Richtlinie schiefgehen kann.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Wählen Sie gebrückt, wenn die Anforderung ist, dass Drahtlosgeräte denselben Tunnel wie verkabelte Geräte nutzen. Wählen Sie geroutet, wenn Sie ein Segment wollen, das isoliert werden kann, oder wenn die zweite Box bereits als Router existiert.

Was der gebrückte Aufbau tatsächlich ändert

Bridging entfernt eine Übersetzungsschicht und ein konkurrierendes Standard-Gateway und fügt ein Verwaltungsproblem hinzu. Der Access Point braucht weiterhin eine Adresse, die Sie erreichen können, was der Hersteller-Workflow üblicherweise über das Haupt-LAN regelt. Sein DHCP-Dienst muss aus sein, sonst vergeben zwei Autoritäten widersprüchliche Leases. Das Gateway behält den Tunnel, die Resolver-Einstellungen und die Entscheidung darüber, was passiert, wenn der Tunnel ausfällt, sodass die Richtlinie an genau einer Stelle lebt.

Das Funkmodul erbt nichts davon automatisch vom Tunnel. Es hört nur auf, Schichten hinzuzufügen, die es verschleiern würden.

Wo ein zweites geroutetes Segment passt

Ein geroutetes Segment verdient seine Komplexität, wenn Geräte dahinter anders behandelt werden müssen als der Rest des LANs. Ein Gästenetz, ein Labor oder eine Gruppe von Clients, die immer über ein bestimmtes Land ausgehen müssen, sind alles Gründe, einen Router in den Pfad zu setzen. Der Preis ist eine zweite Adressautorität, eine zweite Firewall, die konsistent gehalten werden muss, und eine Rückroute aus dem Haupt-LAN, falls jemand dort das Segment erreichen muss. Das sind Verpflichtungen, keine Konfigurationsdetails.

Der häufige Fehler ist, die geroutete Variante versehentlich zu bauen, indem ein Router wiederverwendet wird, der noch sein eigenes DHCP und seine Übersetzung betreibt. Das erzeugt doppelte Übersetzung und eine Richtlinie, die niemand nachvollziehen kann.

Testen Sie von einem WLAN-Client, nicht vom Gateway

Eine erfolgreiche Anfrage am Gateway beweist, dass der Tunnel für das Gateway funktioniert. Die eigentliche Frage ist, ob der weitergeleitete Verkehr eines Drahtlosclients ihn nutzt, und das muss vom Client aus beobachtet werden. Die Befehle unten prüfen die Adresse des Clients, seine Route und die Adresse, die ein entfernter Dienst sieht.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Eine Adresse innerhalb des Gateway-LANs bestätigt, dass die Brücke Frames durchlässt, statt sie zu übersetzen. Eine Route, deren erster Hop das Gateway ist, bestätigt, dass der Client keine zweite Standardroute von woanders bezogen hat. Die Prüfung der Ausgangsadresse beantwortet die eigentliche Frage, und die kurze Spur zeigt, ob die ersten Hops die erwarteten sind. Wenn die Adresse des Clients aus einem anderen Bereich kommt, ist ein verirrter DHCP-Server der erste Verdächtige.

Notieren Sie die Rolle jeder Box, ihre Adresse und die DHCP-Autorität. Ein Diagramm mit drei Linien reicht, und es schlichtet die meisten Diskussionen darüber, wohin eine Regel gehört.

Ähnliche Artikel