Το Wi-Fi επισκεπτών εξακολουθεί να χρησιμοποιεί την κύρια διαδρομή: δώστε του δική του έξοδο

Δημιουργήσατε ένα δίκτυο επισκεπτών, προσθέσατε διαδρομή γι' αυτό, και οι επισκέπτες εξακολουθούν να βγαίνουν από τη συνηθισμένη σας σύνδεση στο διαδίκτυο. Η σήραγγα είναι ενεργή, το κύριο LAN λειτουργεί και οι συσκευές επισκεπτών αναφέρουν διεύθυνση στο εύρος που ορίσατε, οπότε τίποτα δεν φαίνεται χαλασμένο. Αυτό που συνήθως λείπει δεν είναι διαδρομή αλλά επιλογέας: ο δρομολογητής αποφασίζει τη διαδρομή πριν εξετάσει από ποια διεπαφή έφτασε το πακέτο, και εκτός αν κάτι ταιριάζει ρητά με την κίνηση επισκεπτών, αυτή η κίνηση κληρονομεί την προεπιλογή. Η διόρθωση είναι τμήμα, κανόνας πολιτικής και διαδρομή απάντησης, με αυτή τη σειρά.

Το σύμπτωμα: οι επισκέπτες εξακολουθούν να βγαίνουν από το WAN

Η ένδειξη είναι η διεύθυνση εξόδου. Μια συσκευή επισκέπτη που φτάνει στο διαδίκτυο μέσω της σήραγγας θα αναφέρει τη διεύθυνση του παρόχου της σήραγγας, και μία που κληρονόμησε την προεπιλογή θα αναφέρει τη συνηθισμένη σας σύνδεση. Συγκρίνετε μια συσκευή επισκέπτη και μια συσκευή κύριου LAN δίπλα δίπλα, γιατί η ενδιαφέρουσα περίπτωση είναι όταν διαφέρουν από αυτό που ρυθμίσατε και ταιριάζουν μεταξύ τους.

Η δεύτερη ένδειξη είναι η απουσία οποιασδήποτε κίνησης στη διεπαφή της σήραγγας ενώ οι επισκέπτες περιηγούνται. Αν οι μετρητές δεν κινούνται, η πολιτική δεν εφαρμόστηκε ποτέ, και η ρύθμιση της ίδιας της σήραγγας δεν μπορεί να βοηθήσει.

Βήμα 1: πραγματικό τμήμα, όχι απλώς όνομα

Ένα όνομα SSID δεν δημιουργεί απομόνωση. Ελέγξτε ότι το δίκτυο επισκεπτών τερματίζει στη δική του διεπαφή, VLAN ή γέφυρα, και ότι το εύρος διευθύνσεων διαφέρει από το έμπιστο LAN. Σε πολλά σημεία πρόσβασης καταναλωτών, το SSID επισκεπτών γεφυρώνεται στο ίδιο τμήμα με όλα τα άλλα, γεγονός που καθιστά αδύνατη την υπόλοιπη εργασία μέχρι να διορθωθεί αυτό.

Στη συνέχεια επιβεβαιώστε το εύρος επισκεπτών και τον διακομιστή DHCP του, και κρατήστε τις ρυθμίσεις του επιλυτή συνδεδεμένες με αυτό το τμήμα και όχι με ολόκληρο τον δρομολογητή. Ένα υποδίκτυο επισκεπτών που υπάρχει μόνο ως σχόλιο σε κανόνα τείχους προστασίας δεν είναι τμήμα, και ο δρομολογητής δεν θα έχει διεπαφή για αντιστοίχιση.

Μη γεφυρώνετε τους επισκέπτες στο κύριο LAN για να γίνει ευκολότερη η ρύθμιση του VPN. Αυτό ανταλλάσσει την απομόνωση που θέλατε με μια συντόμευση στη δρομολόγηση, και είναι ο συνηθισμένος λόγος που ένα δίκτυο επισκεπτών καταλήγει με πρόσβαση στον εκτυπωτή και το NAS.

Βήμα 2: επιλέξτε τη σήραγγα με βάση την πηγή

Οι πίνακες δρομολόγησης επιλέγονται με βάση τον προορισμό, οπότε ένας κανόνας που λέει να στέλνεται το 0.0.0.0/0 στη σήραγγα ισχύει για όλους. Η δρομολόγηση πολιτικής προσθέτει μια δεύτερη διάσταση: επιλέξτε τον πίνακα με βάση τη διεύθυνση πηγής. Σε δρομολογητή βασισμένο σε Linux, αυτό είναι ένας πρόσθετος κανόνας συν ένας ειδικός πίνακας, και η σειρά μετράει γιατί κερδίζει ο πρώτος κανόνας που ταιριάζει:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Η τελευταία εντολή απαντά απευθείας στην ερώτηση: ποια διεπαφή θα χρησιμοποιήσει αυτή η πηγή για αυτόν τον προορισμό. Εκτελέστε την πριν και μετά την αλλαγή και θα ξέρετε αν η πολιτική τέθηκε σε ισχύ χωρίς να αγγίξετε πρόγραμμα περιήγησης.

Τα περισσότερα υλικολογισμικά δρομολογητών εκφράζουν το ίδιο ως κανόνα διεπαφής ή επιλογή πύλης βάσει πηγής. Όποια σύνταξη κι αν χρησιμοποιεί η πλατφόρμα σας, η αρχή είναι ίδια: αντιστοιχίστε στη διεπαφή εισόδου ή στο πρόθεμα πηγής, και μετά παρακάμψτε τη διαδρομή μόνο για αυτή την αντιστοίχιση. Ένας κανόνας που αντιστοιχίζεται στον προορισμό δεν μπορεί να ξεχωρίσει έναν επισκέπτη από μια οικιακή συσκευή.

Βήμα 3: η διαδρομή απάντησης και η μετάφραση

Ένα πακέτο που βγαίνει μέσω της σήραγγας πρέπει να επιστρέψει. Είτε ο ομότιμος της σήραγγας γνωρίζει διαδρομή πίσω στο πρόθεμα επισκεπτών, είτε ο δρομολογητής μεταφράζει την πηγή επισκέπτη στη διεύθυνση της σήραγγας. Διαλέξτε ένα και γράψτε το, γιατί οι τρόποι αποτυχίας φαίνονται διαφορετικοί: μια διαδρομή επιστροφής που λείπει δίνει σύνδεση που εγκαθίσταται και δεν απαντά ποτέ, ενώ η μετάφραση που λείπει συχνά δεν παράγει τίποτα.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Αν διαλέξετε τη μετάφραση, θυμηθείτε ότι ο ομότιμος βλέπει τώρα μία διεύθυνση για κάθε επισκέπτη, οπότε οποιαδήποτε πολιτική ανά πελάτη στο μακρινό άκρο χάνεται. Αν αντίθετα διατηρήσετε τις διευθύνσεις, και τα δύο άκρα χρειάζονται το πρόθεμα επισκεπτών στη δρομολόγηση και την πολιτική τους, που είναι περισσότερη δουλειά και πιο προβλέψιμο.

Το IPv6 χρειάζεται δικό του κανόνα. Μια πολιτική γραμμένη για IPv4 δεν καλύπτει την άλλη οικογένεια, και μια συσκευή επισκέπτη με λειτουργικό IPv6 θα το χρησιμοποιήσει ευχαρίστως ενώ η προσεκτικά δρομολογημένη διαδρομή IPv4 μένει αργή. Είτε δρομολογήστε και τις δύο οικογένειες είτε απενεργοποιήστε το IPv6 στο τμήμα επισκεπτών, αλλά μην υποθέσετε ότι ο συνδυασμένος κανόνας που γράψατε καλύπτει αυτό που κάνει πραγματικά η συσκευή. Δοκιμάστε με πελάτη που έχει ενεργές και τις δύο οικογένειες, γιατί αυτή είναι η περίπτωση που πρέπει να αντέξει ο σχεδιασμός. Ένας φορητός που προτιμά IPv6 φαίνεται σωστός σε δοκιμή μόνο IPv4 και διαρρέει στην πραγματική.

Δοκιμάστε την απομόνωση, όχι μόνο την περιήγηση

Η περιήγηση αποδεικνύει ότι άλλαξε η έξοδος. Δεν αποδεικνύει ότι το τμήμα είναι απομονωμένο, και η απομόνωση είναι ο λόγος ύπαρξης του δικτύου επισκεπτών. Από συσκευή επισκέπτη, δοκιμάστε να φτάσετε στη διεπαφή διαχείρισης του δρομολογητή, σε έμπιστο κεντρικό υπολογιστή του LAN και σε υπηρεσία που θα έπρεπε να απορριφθεί· και τα τρία θα πρέπει να αποτύχουν, και η αποτυχία θα πρέπει να είναι απόφαση πολιτικής και όχι χρονικό όριο που κανείς δεν μπορεί να εξηγήσει.

Στη συνέχεια δοκιμάστε μια συσκευή του κύριου LAN και επιβεβαιώστε ότι η έξοδός της δεν άλλαξε. Αυτή είναι η παλινδρόμηση που προκαλεί συχνότερα αυτός ο σχεδιασμός: ένας ευρύς κανόνας για επισκέπτες, εφαρμοσμένος σε κάθε διεπαφή επειδή η αντιστοίχιση γράφτηκε στον προορισμό.

Τέλος, αποφασίστε τι συμβαίνει όταν η σήραγγα πέσει. Οι επισκέπτες είτε δεν έχουν διαδίκτυο είτε πέφτουν σε διαδρομή που εγκρίνετε, και το να το αφήσετε ανοιχτό σημαίνει σιωπηλή επιστροφή στη συνηθισμένη σύνδεση, που είναι ακριβώς η διαρροή που η πολιτική επισκεπτών έπρεπε να αποτρέψει. η συνταγή δρομολόγησης της κίνησης διαδικτύου περιγράφει την ίδια επιλογή διαδρομής για δρομολογητή βασισμένο σε pfSense.

Το DNS που προέρχεται από τον δρομολογητή είναι η περίπτωση που ξαφνιάζει τους ανθρώπους τελευταία. Αν οι επισκέπτες χρησιμοποιούν τον δρομολογητή ως επιλυτή τους, τα ερωτήματα του ίδιου του δρομολογητή ακολουθούν τη διαδρομή του δρομολογητή και όχι τον κανόνα επισκεπτών, οπότε οι αναζητήσεις μπορούν να βγαίνουν από τη συνηθισμένη σύνδεση ενώ η κίνηση εφαρμογών όχι. Κρατήστε το τμήμα, τον επιλυτή και την πολιτική αποτυχίας σε μια σημείωση, και ο επόμενος μπορεί να ελέγξει και τα τρία χωρίς να ξαναπαράγει τον σχεδιασμό.