Απομόνωση Wi-Fi πελατών έναντι τοπικής πρόσβασης VPN: τι σας μπλοκάρει

Βάλτε δύο τηλέφωνα στο ίδιο SSID επισκεπτών και κανένα δεν βλέπει το άλλο, όμως και τα δύο φτάνουν στο διαδίκτυο. Προσθέστε έναν πελάτη VPN στο ένα και ο εκτυπωτής τρία μέτρα μακριά παραμένει αόρατος, ενώ ένας διακομιστής σε άλλη ήπειρο απαντά σε ping. Τίποτα δεν είναι χαλασμένο στη σήραγγα· εμπλέκονται δύο ξεχωριστές αποφάσεις πρόσβασης και μόνο η μία αφορά τη δρομολόγηση. Το σημείο πρόσβασης αποφασίζει αν οι ασύρματοι πελάτες μπορούν να μιλούν μεταξύ τους, και ο πελάτης VPN αποφασίζει ποιοι προορισμοί βγαίνουν από τη σήραγγα. Η σύγχυση των δύο παράγει ώρες άσκοπων αλλαγών ρυθμίσεων.

Οι δύο πύλες είναι ανεξάρτητες

Η απομόνωση πελατών είναι απόφαση μεταγωγής. Το σημείο πρόσβασης δέχεται ένα πλαίσιο από έναν συνδεδεμένο σταθμό, κοιτά τον προορισμό, αντιλαμβάνεται ότι ο προορισμός είναι άλλος σταθμός στην ίδια γέφυρα και το απορρίπτει. Η διεύθυνση IP του σταθμού δεν έχει σχέση με αυτή την απόφαση, ούτε το VPN.

Η δρομολόγηση είναι διαφορετική απόφαση, που λαμβάνεται στον πελάτη. Ο πίνακας δρομολόγησης του VPN αποφασίζει αν ένα πακέτο για 192.168.1.50 μπαίνει στη σήραγγα ή βγαίνει από τη διεπαφή Wi-Fi. Αν το πακέτο βγει από το Wi-Fi και το σημείο πρόσβασης απομονώνει πελάτες, πεθαίνει στο σημείο πρόσβασης. Αν το πακέτο μπει στη σήραγγα, το σημείο πρόσβασης δεν βλέπει ποτέ τον αρχικό προορισμό και δεν μπορεί να απομονώσει τίποτα.

Τι μπλοκάρει η απομόνωση σε ένα τυπικό σημείο πρόσβασης

Οι κατασκευαστές το διαθέτουν με διάφορα ονόματα: απομόνωση πελατών, απομόνωση AP, απομόνωση σταθμών ή δίκτυο επισκεπτών που την υπονοεί. Στο OpenWrt η επιλογή ανά διεπαφή είναι isolate μέσα στη ρύθμιση ασύρματου δικτύου, όπως περιγράφεται στην τεκμηρίωση ασύρματου δικτύου, και ένα SSID επισκεπτών παίρνει συνήθως δική του γέφυρα και ζώνη τείχους προστασίας. Το αποτέλεσμα είναι ότι τα πλαίσια unicast μεταξύ πελατών δεν γεφυρώνονται, οπότε ένα ping, μια σύνδεση SMB ή μια εργασία εκτύπωσης προς γείτονα αποτυγχάνει ακόμα και όταν και οι δύο συσκευές δείχνουν πλήρες σήμα.

Τα πρωτόκολλα ανακάλυψης υποφέρουν πρώτα και πιο ορατά. Το mDNS για εκτυπωτές και συσκευές πολυμέσων ταξιδεύει με multicast στο 224.0.0.251, το SSDP χρησιμοποιεί το 239.255.255.250, και το αν αυτά τα πλαίσια περνούν τη γέφυρα εξαρτάται από τον κατασκευαστή και από το αν είναι ενεργή η μετατροπή multicast σε unicast. Μια συσκευή που λείπει από μια λίστα είναι ασθενέστερη απόδειξη από μια αποτυχημένη άμεση σύνδεση σε γνωστή διεύθυνση.

Τι αλλάζει το VPN και τι δεν μπορεί να αλλάξει

Μια πλήρης σήραγγα παίρνει την προεπιλεγμένη διαδρομή, άρα τα τοπικά υποδίκτυα φτάνονται μόνο αν ο πελάτης κρατά μια πιο συγκεκριμένη διαδρομή γι' αυτά. Οι διαχωρισμένες σήραγγες κάνουν το αντίθετο και διατηρούν την τοπική πρόσβαση εκ σχεδιασμού. Καμία ρύθμιση δεν μπορεί να κάνει ένα σημείο πρόσβασης που απομονώνει να προωθήσει πλαίσιο ανάμεσα σε δύο πελάτες του, γι' αυτό το να επιτρέπεται τοπική κίνηση στον πελάτη VPN είναι αναγκαίο αλλά όχι αρκετό.

Η αντίστροφη περίπτωση είναι εξίσου συνηθισμένη. Το σημείο πρόσβασης επιτρέπει κίνηση μεταξύ ομότιμων, ο πελάτης VPN εξαιρεί το τοπικό υποδίκτυο από τη σήραγγα, και ο εκτυπωτής ακόμη δεν απαντά επειδή το τείχος προστασίας του κεντρικού υπολογιστή θεωρεί το δίκτυο Wi-Fi δημόσιο. Τρία επίπεδα, τρεις διαφορετικές προεπιλογές, και μόνο η διαδρομή είναι ορατή στα περισσότερα αρχεία καταγραφής VPN.

Βρείτε ποια πύλη είναι κλειστή

Ξεκινήστε με μια δοκιμή που βγάζει το VPN από την εικόνα: συνδέστε δύο συνηθισμένες συσκευές στο ίδιο SSID και δοκιμάστε να φτάσετε τη μία από την άλλη με διεύθυνση. Αν αποτύχει, το σημείο πρόσβασης απομονώνει και καμία ρύθμιση VPN δεν θα το διορθώσει. Αν πετύχει, πηγαίνετε στον πελάτη και εκτελέστε ip route get 192.168.1.50 σε Linux ή Find-NetRoute -RemoteIPAddress 192.168.1.50 σε Windows· η έξοδος ονομάζει τη διεπαφή που θα χρησιμοποιήσει το πακέτο.

Όταν η διαδρομή δείχνει τη διεπαφή Wi-Fi, το πακέτο βγαίνει χωρίς κρυπτογράφηση και το ερώτημα γίνεται αν το επιτρέπουν το σημείο πρόσβασης και το τείχος προστασίας. Όταν η διαδρομή δείχνει τη σήραγγα, ο προορισμός στέλνεται στον διακομιστή VPN, κάτι λάθος για συσκευή στο ίδιο τοπικό δίκτυο και που συνήθως σημαίνει ότι η λίστα επιτρεπόμενων της σήραγγας είναι πολύ ευρεία.

Η άμεση σύνδεση στη θύρα του εκτυπωτή είναι καλύτερη δοκιμή από μια λίστα ανακάλυψης. Το nc -vz 192.168.1.50 9100 σε Linux ή το Test-NetConnection 192.168.1.50 -Port 9100 στο PowerShell σας λέει αν η διεύθυνση είναι γενικά προσβάσιμη, πριν μπει στη συζήτηση οποιοδήποτε ζευγάρωμα σε επίπεδο εφαρμογής.

Διαλέξτε τη διόρθωση για το δίκτυο όπου βρίσκεστε

Σε δίκτυο ξενοδοχείου ή επισκεπτών η απομόνωση είναι σκόπιμη και δεν πρέπει να προσπαθήσετε να την παρακάμψετε. Θεωρήστε την τοπική συσκευή μη προσβάσιμη, χρησιμοποιήστε το VPN για να φτάσετε σε κεντρικό υπολογιστή που μπορεί να εκτυπώσει ή να μοιραστεί, και σταματήστε να αντιμετωπίζετε το SSID ως τοπικό δίκτυο.

Στο σπίτι, η απενεργοποίηση της απομόνωσης στο κύριο SSID είναι λογική όταν οι συσκευές είναι δικές σας, ενώ το SSID επισκεπτών παραμένει απομονωμένο. Η ρύθμιση ζει στη διαμόρφωση ασύρματου δικτύου του σημείου πρόσβασης και ανήκει εκεί, όχι σε εξαιρέσεις τείχους προστασίας σε κάθε πελάτη.

Σε γραφείο, θεωρήστε ότι το σημείο πρόσβασης, το VLAN και το τείχος προστασίας είναι όλα σκόπιμα. Κλιμακώστε με τα αποτελέσματα των δοκιμών αντί να ζητάτε να απενεργοποιηθεί η απομόνωση, γιατί ένα δίκτυο που χωρίζει πελάτες συνήθως προστατεύει κάτι.

Επαληθεύστε την εφαρμογή, όχι μόνο το ping

Ένα επιτυχημένο ping αποδεικνύει τη διαδρομή, όχι την υπηρεσία. Οι εκτυπωτές συχνά δέχονται ακατέργαστο 9100 ή IPP στη θύρα 631 αλλά αρνούνται την ανακάλυψη, και ένας κοινόχρηστος φάκελος χρειάζεται 445 συν λειτουργική ανάλυση ονομάτων. Επιβεβαιώστε τη θύρα που χρησιμοποιεί η εφαρμογή και μετά δοκιμάστε ξανά την πραγματική εργασία στη συσκευή.

Κρατήστε τα δύο επίπεδα χωριστά στις σημειώσεις σας: τι επιτρέπει το δίκτυο Wi-Fi και τι δρομολογεί το VPN. Την επόμενη φορά που μια συσκευή θα εξαφανιστεί από μια λίστα, αυτός ο διαχωρισμός θα σας πει πού να κοιτάξετε πρώτα.