Οικιακό τμήμα μόνο VPN: σβήστε την εφεδρική διαδρομή, όχι μόνο το SSID

Βάζετε το SSID επισκεπτών στο VPN και ονομάζετε το τμήμα μόνο-VPN. Μετά το τούνελ πέφτει για δύο λεπτά και οι συσκευές επιστρέφουν ήσυχα στο συνηθισμένο WAN. Τίποτα στο όνομα του SSID δεν το εμπόδισε. Ένα τμήμα μόνο-VPN ορίζεται από το τι συμβαίνει όταν το τούνελ δεν είναι διαθέσιμο, όχι από την ετικέτα του δικτύου.

Η ετικέτα είναι μια υπόσχεση· η πολιτική εφεδρείας είναι η επιβολή.

Μύθος: το SSID είναι το όριο

Ένα SSID χωρίς δική του πολιτική προώθησης είναι απλώς ένα όνομα. Το όριο είναι ξεχωριστή διεπαφή, VLAN ή υποδίκτυο, με δικό του εύρος DHCP και δικούς του κανόνες. Ένα VLAN σας δίνει όριο προώθησης που ένα όνομα Wi-Fi δεν μπορεί να δώσει.

Η απομόνωση πελατών ανήκει επίσης στον σχεδιασμό. Δύο συσκευές στο τμήμα μπορεί να χρειάζεται να μιλάνε μεταξύ τους, ή μπορεί και όχι, και αυτή η επιλογή πρέπει να είναι ρητή αντί να κληρονομείται από προφίλ επισκέπτη.

Γράψτε τη διεπαφή και το εύρος διευθύνσεων του τμήματος πριν γράψετε έναν κανόνα. Αυτή η μία γραμμή αποτρέπει το μεγαλύτερο μέρος της μετέπειτα σύγχυσης.

Μύθος: η διαδρομή του τούνελ καλύπτει κάθε πρωτόκολλο

Εφαρμόστε την πολιτική του firmware σε αυτό το τμήμα ώστε η κίνησή του προς το διαδίκτυο να χρησιμοποιεί το τούνελ. Διαμορφώστε την απομακρυσμένη προώθηση και μετάφραση που απαιτεί το τούνελ. Κρατήστε μόνο την πρόσβαση σε τοπικούς πόρους που το τμήμα πραγματικά χρειάζεται.

Ελέγξτε και τις δύο οικογένειες διευθύνσεων. Αν το IPv6 δεν μεταφέρεται μέσω του τούνελ, η πολιτική πρέπει να το χειριστεί, αλλιώς μια συσκευή με δυνατότητα IPv6 θα βρει μια άμεση διαδρομή που δεν σκοπεύατε.

Ένας διακόπτης διακοπής μόνο για IPv4 με ενεργό IPv6 είναι συνηθισμένος τρόπος διαρροής. Δοκιμάστε με πελάτη με δυνατότητα IPv6, όχι μόνο με τον φορητό υπολογιστή που έχετε πρόχειρο.

Μύθος: το DNS και το τελικό σημείο του τούνελ ακολουθούν το τούνελ

Το DNS του δρομολογητή μπορεί να παράγεται τοπικά και να ακολουθεί τον δικό του πίνακα δρομολόγησης, όχι την πολιτική του τμήματος. Αποφασίστε ποια διαδρομή πρέπει να χρησιμοποιεί αυτός ο resolver και τι κάνει όταν το τούνελ αποτυγχάνει. Η ίδια η σύνδεση τελικού σημείου του VPN είναι άλλη μια εξαίρεση: χρειάζεται την τεκμηριωμένη εξωτερική διαδρομή προς τον ομότιμο. Δρομολογήστε αυτή τη σύνδεση μέσα στο τούνελ και δεν μπορεί να σηκωθεί.

Κρατήστε τη διαχείριση ανάκτησης ξεχωριστά από την πρόσβαση στο διαδίκτυο του τμήματος. Αν ένας αποτυχημένος ομότιμος σας κλειδώσει και έξω από τον δρομολογητή, έχετε μετατρέψει μια διακοπή τούνελ σε επίσκεψη στο χώρο. Κρατήστε αυτή την πρόσβαση σε δίκτυο διαχείρισης, όχι στο τμήμα μόνο-VPN.

Τι το κάνει πραγματικά μόνο-VPN

Αποκλείστε τη συνηθισμένη προώθηση προς το WAN για το τμήμα όποτε το τούνελ είναι κάτω. Αυτός ο κανόνας, όχι το SSID, κάνει την ετικέτα αληθινή. Δοκιμάστε το με αβλαβή κίνηση από συσκευή του τμήματος.

Κάντε τρεις ελέγχους: κανονική λειτουργία μέσω του τούνελ, την επιτρεπόμενη δοκιμή αστοχίας με το τούνελ κάτω, και ανάκτηση όταν επιστρέψει. Επιβεβαιώστε ότι ένα άλλο οικιακό τμήμα διατηρεί τη δική του προβλεπόμενη διαδρομή καθ όλη τη διάρκεια. Τεκμηριώστε τυχόν άμεσες εξαιρέσεις, αλλιώς η ετικέτα κρύβει διαδρομές που δεν θυμάστε πια.

Ένα σύντομο αρχείο του τμήματος, του επιλεγμένου τούνελ και των εξαιρέσεων σας δίνει συγκεκριμένους ελέγχους αφού μια ενημέρωση firmware αλλάξει τη σειρά κανόνων ή τη συμπεριφορά του resolver. Η συνταγή πελάτη WireGuard του pfSense είναι χρήσιμη αναφορά για την πλευρά του τούνελ, όχι υποκατάστατο της πολιτικής του τμήματος.