Hejma segmento nur-VPN: malŝaltu la rezervan vojon, ne nur la SSID

Vi metas la gastan SSID en la VPN kaj nomas la segmenton nur-VPN. Poste la tunelo falas dum du minutoj kaj la aparatoj kviete revenas al la ordinara WAN. Nenio en la nomo de la SSID malhelpis tion. Nur-VPN-segmento estas difinita per tio, kio okazas kiam la tunelo ne disponeblas, ne per la etikedo de la reto.

La etikedo estas promeso; la rezerva politiko estas la plenumo.

Mito: la SSID estas la limo

SSID sen propra plusenda politiko estas nur nomo. La limo estas aparta interfaco, VLAN aŭ subreto, kun propra DHCP-gamuo kaj propraj reguloj. VLAN donas al vi plusendan limon, kiun Wi-Fi-nomo ne povas doni.

Klienta izolado ankaŭ apartenas al la dezajno. Du aparatoj en la segmento eble bezonas interparoli, aŭ eble ne, kaj tiu elekto devus esti eksplicita anstataŭ heredita de gasta profilo.

Notu la interfacon kaj adresaron de la segmento antaŭ ol skribi eĉ unu regulon. Tiu unu linio malhelpas la plejparton de la posta konfuzo.

Mito: la tunela vojo kovras ĉiun protokolon

Apliku la firmvaran politikon al tiu segmento, por ke ĝia interreta trafiko uzu la tunelon. Agordu la deforendan plusendon kaj tradukon, kiujn la tunelo bezonas. Konservu nur la aliron al lokaj rimedoj, kiujn la segmento vere bezonas.

Kontrolu ambaŭ adresfamiliojn. Se IPv6 ne estas portata tra la tunelo, la politiko devas pritrakti ĝin, alie aparato kun IPv6-kapablo trovos rektan vojon, kiun vi ne intencis.

Kill-switch nur por IPv4 kun IPv6 ŝaltita estas ofta maniero liki. Testu per IPv6-kapabla kliento, ne nur per la tekkomputilo, kiun vi havas ĉemane.

Mito: DNS kaj la tunela finpunkto sekvas la tunelon

Enkursiga DNS povas esti generata loke kaj sekvi la propran enkursigan tabelon de la enkursigilo, ne la politikon de la segmento. Decidu, kiun vojon tiu solvilo uzu kaj kion ĝi faru kiam la tunelo malsukcesas. La propra finpunkta konekto de la VPN estas alia escepto: ĝi bezonas la dokumentitan eksteran vojon al la samtavolano. Enkursigu tiun konekton en la tunelon kaj ĝi ne povas ekfunkcii.

Tenadu la restarigan administradon aparte de la interreta aliro de la segmento. Se malsukcesinta samtavolano ankaŭ ŝlosas vin for de la enkursigilo, vi transformis tunelan interrompon en viziton al la loko. Tenadu tiun aliron en administra reto, ne en la nur-VPN-segmento.

Kio vere faras ĝin nur-VPN

Bloku la ordinaran WAN-plusendon por la segmento ĉiam, kiam la tunelo estas malŝaltita. Tiu regulo, ne la SSID, faras la etikedon vera. Testu ĝin per sendanĝera trafiko de aparato en la segmento.

Faru tri kontrolojn: normala funkciado tra la tunelo, la permesita malsukcesa testo kun la tunelo malŝaltita, kaj restarigo kiam ĝi revenas. Konfirmu, ke alia hejma segmento konservas sian propran celitan vojon dum la tuta tempo. Dokumentu ĉiujn rektajn esceptojn, alie la etikedo kaŝas vojojn, kiujn vi ne plu memoras.

Mallonga registro de la segmento, la elektita tunelo kaj la esceptoj donas al vi specifajn kontrolojn post kiam firmvara ĝisdatigo ŝanĝas regulordon aŭ solvilan konduton. La pfSense WireGuard-klienta recepto estas utila referenco por la tunela flanko, ne anstataŭaĵo por la segmenta politiko.