Σημείο πρόσβασης Wi-Fi πίσω από πύλη VPN: κρατήστε ένα LAN

Γεφυρωμένο σημείο πρόσβασης ή δεύτερο δρομολογημένο τμήμα; Η διαφορά είναι ποιος κατέχει τη διευθυνσιοδότηση, το DNS και το τούνελ, και αυτό καθορίζει πού ζει η πολιτική.

Οι ασύρματοι πελάτες μπορούν να βρίσκονται πίσω από VPN χωρίς το σημείο πρόσβασης να γνωρίζει τίποτα για το τούνελ. Γεφυρώστε το ραδιόφωνο στο LAN της πύλης, αφήστε την πύλη να κατέχει τη διευθυνσιοδότηση και το τούνελ, και κάθε συσκευή στο Wi-Fi κληρονομεί την ίδια πολιτική. Η εναλλακτική, ένα δεύτερο δρομολογημένο τμήμα με δική του πύλη, είναι διαφορετικός σχεδιασμός με διαφορετικό τρόπο αποτυχίας.

Τα δύο μπερδεύονται επειδή και τα δύο βάζουν ένα κουτί ανάμεσα στο διαδίκτυο και τις συσκευές σας. Η σύγκριση τού τι κατέχει το καθένα είναι ο ταχύτερος τρόπος επιλογής.

Δύο τρόποι να βάλετε το VPN μπροστά από το Wi-Fi

Σε γεφυρωμένη διάταξη το σημείο πρόσβασης μεταφέρει πλαίσια ανάμεσα στο ραδιόφωνο και το ενσύρματο τμήμα και τίποτα άλλο: ένα υποδίκτυο, μία αρχή διευθύνσεων, ένας δρομολογητής που εκτελεί την πολιτική. Σε δρομολογημένη διάταξη το δεύτερο κουτί έχει δικές του διευθύνσεις, δικό του εύρος DHCP και δική του προεπιλεγμένη διαδρομή, ώστε η κίνηση να περνά άλλο ένα σύνορο πριν φτάσει στο τούνελ. Η γεφυρωμένη σχεδίαση κάνει κάθε ασύρματη συσκευή να φαίνεται τοπική για την πύλη, γι' αυτό ένα σύνολο κανόνων τις καλύπτει όλες. Η δρομολογημένη σχεδίαση σάς δίνει ένα τμήμα για σκέψη και ένα δεύτερο σημείο όπου η πολιτική μπορεί να πάει στραβά.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Επιλέξτε γεφυρωμένη όταν η απαίτηση είναι οι ασύρματες συσκευές να χρησιμοποιούν το ίδιο τούνελ με τις ενσύρματες. Επιλέξτε δρομολογημένη όταν θέλετε ένα τμήμα που μπορεί να απομονωθεί, ή όταν το δεύτερο κουτί υπάρχει ήδη ως δρομολογητής.

Τι αλλάζει πραγματικά η γεφυρωμένη διάταξη

Η γεφύρωση αφαιρεί ένα στρώμα μετάφρασης και μια ανταγωνιστική προεπιλεγμένη πύλη, και προσθέτει ένα πρόβλημα διαχείρισης. Το σημείο πρόσβασης χρειάζεται ακόμη μια διεύθυνση που μπορείτε να φτάσετε, κάτι που η ροή εργασίας του κατασκευαστή συνήθως τακτοποιεί μέσω του κύριου LAN. Η υπηρεσία DHCP του πρέπει να είναι κλειστή, αλλιώς δύο αρχές θα δίνουν αντιφατικές μισθώσεις. Η πύλη κρατά το τούνελ, τις ρυθμίσεις του resolver και την απόφαση για το τι γίνεται όταν πέσει το τούνελ, ώστε η πολιτική να ζει σε ένα ακριβώς σημείο.

Το ραδιόφωνο δεν κληρονομεί τίποτα από αυτά αυτόματα από το τούνελ. Απλώς σταματά να προσθέτει στρώματα που θα το έκρυβαν.

Πού ταιριάζει ένα δεύτερο δρομολογημένο τμήμα

Ένα δρομολογημένο τμήμα δικαιώνει την πολυπλοκότητά του όταν οι συσκευές πίσω του χρειάζονται διαφορετική μεταχείριση από το υπόλοιπο LAN. Ένα δίκτυο επισκεπτών, ένα εργαστήριο ή ένα σύνολο πελατών που πρέπει πάντα να βγαίνουν μέσω συγκεκριμένης χώρας είναι όλοι λόγοι να μπει δρομολογητής στη διαδρομή. Το κόστος είναι μια δεύτερη αρχή διευθύνσεων, ένα δεύτερο τείχος προστασίας που πρέπει να μένει συνεπές, και μια διαδρομή επιστροφής από το κύριο LAN αν κάποιος εκεί χρειάζεται να φτάσει το τμήμα. Αυτές είναι υποχρεώσεις, όχι λεπτομέρειες ρύθμισης.

Το συνηθισμένο λάθος είναι να στηθεί η δρομολογημένη εκδοχή κατά λάθος, επαναχρησιμοποιώντας έναν δρομολογητή που εκτελεί ακόμη το δικό του DHCP και τη μετάφρασή του. Αυτό παράγει διπλή μετάφραση και μια πολιτική που κανείς δεν μπορεί να ιχνηλατήσει.

Δοκιμάστε από ασύρματο πελάτη, όχι από την πύλη

Ένα επιτυχημένο αίτημα στην πύλη αποδεικνύει ότι το τούνελ λειτουργεί για την πύλη. Το πραγματικό ερώτημα είναι αν η προωθούμενη κίνηση ενός ασύρματου πελάτη το χρησιμοποιεί, και αυτό πρέπει να παρατηρηθεί από τον πελάτη. Οι παρακάτω εντολές ελέγχουν τη διεύθυνση του πελάτη, τη διαδρομή του και τη διεύθυνση που βλέπει μια απομακρυσμένη υπηρεσία.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Μια διεύθυνση μέσα στο LAN της πύλης επιβεβαιώνει ότι η γέφυρα περνά πλαίσια αντί να τα μεταφράζει. Μια διαδρομή της οποίας το πρώτο άλμα είναι η πύλη επιβεβαιώνει ότι ο πελάτης δεν απέκτησε δεύτερη προεπιλεγμένη διαδρομή από αλλού. Ο έλεγχος της διεύθυνσης εξόδου απαντά το πραγματικό ερώτημα, και το σύντομο ίχνος δείχνει αν τα πρώτα άλματα είναι τα αναμενόμενα. Αν η διεύθυνση του πελάτη προέρχεται από άλλο εύρος, πρώτος ύποπτος είναι ένας περιπλανώμενος διακομιστής DHCP.

Καταγράψτε τον ρόλο κάθε κουτιού, τη διεύθυνσή του και την αρχή DHCP. Ένα διάγραμμα με τρεις γραμμές αρκεί, και λύνει τις περισσότερες διαφωνίες για το πού ανήκει ένας κανόνας.

Σχετικά άρθρα