Wi-Fi-alirpunkto malantaŭ VPN-pordego: konservu unu lokan reton

Sendrataj klientoj povas sidi malantaŭ VPN sen ke la alirpunkto sciu ion pri la tunelo. Pontigu la radion al la loka reto de la pordego, lasu la pordegon posedi adresadon kaj la tunelon, kaj ĉiu aparato en la Wi-Fi heredas la saman politikon. La alternativo, dua itinerigita segmento kun propra pordego, estas alia dezajno kun alia fiaska maniero.

La du konfuziĝas ĉar ambaŭ metas skatolon inter la interreton kaj viajn aparatojn. Kompari kion posedas ĉiu el ili estas la plej rapida vojo elekti.

Du manieroj meti la VPN antaŭ la Wi-Fi

En ponta aranĝo la alirpunkto portas kadrojn inter la radio kaj la kabla segmento kaj nenion alian: unu subreto, unu adresa aŭtoritato, unu enkursigilo plenumanta la politikon. En itinerigita aranĝo la dua skatolo havas proprajn adresojn, propran DHCP-gamon kaj propran defaŭltan itineron, do trafiko transiras alian limon antaŭ ol atingi la tunelon. La ponta dezajno igas ĉiun sendratan aparaton ŝajni loka al la pordego, kaj tial unu aro da reguloj kovras ilin ĉiujn. La itinerigita dezajno donas al vi segmenton pri kiu pensi kaj duan lokon kie la politiko povas misfunkcii.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Elektu pontan kiam la postulo estas ke sendrataj aparatoj uzu la saman tunelon kiel kablaj. Elektu itinerigitan kiam vi volas segmenton kiu povas esti izolita, aŭ kiam la dua skatolo jam ekzistas kiel enkursigilo.

Kion la ponta aranĝo vere ŝanĝas

Pontado forigas tradukan tavolon kaj konkurencan defaŭltan pordegon, kaj aldonas administran problemon. La alirpunkto ankoraŭ bezonas adreson kiun vi povas atingi, kion la vendista laborfluo kutime aranĝas per la ĉefa loka reto. Ĝia DHCP-servo devas esti malŝaltita, alie du aŭtoritatoj disdonos kontraŭdirajn luojn. La pordego tenas la tunelon, la agordojn de la solvilo kaj la decidon pri tio, kio okazas kiam la tunelo falas, do la politiko loĝas en ekzakte unu loko.

La radio heredas nenion el tio aŭtomate de la tunelo. Ĝi nur ĉesas aldoni tavolojn kiuj kaŝus ĝin.

Kie taŭgas dua itinerigita segmento

Itinerigita segmento meritigas sian kompleksecon kiam aparatoj malantaŭ ĝi bezonas alian traktadon ol la resto de la loka reto. Gasta reto, laboratorio, aŭ aro da klientoj kiuj ĉiam devas eliri tra difinita lando estas ĉiuj kialoj meti enkursigilon en la vojon. La kosto estas dua adresa aŭtoritato, dua fajroŝirmilo kiun oni devas teni konsekvenca, kaj revena itinero de la ĉefa loka reto se iu tie bezonas atingi la segmenton. Tiuj estas devoj, ne detaloj de agordo.

La ofta eraro estas konstrui la itinerigitan version hazarde, reuzante enkursigilon kiu ankoraŭ funkciigas sian propran DHCP kaj tradukadon. Tio produktas duoblan tradukadon kaj politikon kiun neniu povas spuri.

Testu el Wi-Fi-kliento, ne el la pordego

Sukcesa peto sur la pordego pruvas ke la tunelo funkcias por la pordego. La vera demando estas ĉu la plusendita trafiko de sendrata kliento uzas ĝin, kaj tio devas esti observata el la kliento. La subaj komandoj kontrolas la adreson de la kliento, ĝian itineron kaj la adreson kiun vidas fora servo.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adreso ene de la loka reto de la pordego konfirmas ke la ponto pasigas kadrojn anstataŭ traduki ilin. Itinero kies unua salteto estas la pordego konfirmas ke la kliento ne akiris duan defaŭltan itineron de aliloke. La kontrolo de la elira adreso respondas la veran demandon, kaj la mallonga spuro montras ĉu la unuaj saltetoj estas la atenditaj. Se la adreso de la kliento venas el alia gamo, erarvaganta DHCP-servilo estas la unua suspektato.

Notu la rolon de ĉiu skatolo, ĝian adreson kaj la DHCP-aŭtoritaton. Diagramo kun tri linioj sufiĉas, kaj ĝi solvas la plej multajn disputojn pri tio kie apartenas regulo.