Punto de acceso Wi-Fi detrás de una puerta de enlace VPN: mantenga una sola LAN

¿Punto de acceso puenteado o segundo segmento enrutado? La diferencia es quién posee el direccionamiento, el DNS y el túnel, y eso decide dónde vive la política.

Los clientes inalámbricos pueden estar detrás de una VPN sin que el punto de acceso sepa nada del túnel. Puentee la radio hacia la LAN de la puerta de enlace, deje que la puerta de enlace posea el direccionamiento y el túnel, y cada dispositivo de la Wi-Fi hereda la misma política. La alternativa, un segundo segmento enrutado con su propia puerta de enlace, es un diseño distinto con un modo de fallo distinto.

Los dos se confunden porque ambos ponen una caja entre internet y sus dispositivos. Comparar qué posee cada uno es la forma más rápida de elegir.

Dos formas de poner la VPN delante de la Wi-Fi

En un diseño puenteado, el punto de acceso transporta tramas entre la radio y el segmento cableado y nada más: una subred, una autoridad de direcciones, un enrutador que aplica la política. En un diseño enrutado, la segunda caja tiene sus propias direcciones, su propio ámbito DHCP y su propia ruta predeterminada, así que el tráfico cruza otra frontera antes de llegar al túnel. El diseño puenteado hace que cada dispositivo inalámbrico parezca local para la puerta de enlace, y por eso un solo conjunto de reglas los cubre a todos. El diseño enrutado le da un segmento sobre el que razonar y un segundo lugar donde la política puede salir mal.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Elija el puenteado cuando el requisito sea que los dispositivos inalámbricos usen el mismo túnel que los cableados. Elija el enrutado cuando quiera un segmento que pueda aislarse, o cuando la segunda caja ya exista como enrutador.

Qué cambia realmente el diseño puenteado

El puenteo elimina una capa de traducción y una puerta de enlace predeterminada que compite, y añade un problema de gestión. El punto de acceso sigue necesitando una dirección que usted pueda alcanzar, lo que el flujo del fabricante suele resolver por medio de la LAN principal. Su servicio DHCP debe estar apagado, o dos autoridades repartirán concesiones en conflicto. La puerta de enlace conserva el túnel, los ajustes del resolución de nombres y la decisión sobre qué ocurre cuando el túnel cae, así que la política vive en exactamente un lugar.

La radio no hereda nada de eso automáticamente del túnel. Solo deja de añadir capas que lo ocultarían.

Dónde encaja un segundo segmento enrutado

Un segmento enrutado se gana su complejidad cuando los dispositivos que están detrás necesitan un trato distinto del resto de la LAN. Una red de invitados, un laboratorio o un conjunto de clientes que siempre deben salir por un país concreto son todos motivos para poner un enrutador en el camino. El coste es una segunda autoridad de direcciones, un segundo cortafuegos que mantener coherente y una ruta de retorno desde la LAN principal si alguien de allí necesita llegar al segmento. Son obligaciones, no detalles de configuración.

El error habitual es construir la versión enrutada por accidente, reutilizando un enrutador que aún ejecuta su propio DHCP y su traducción. Eso produce traducción doble y una política que nadie puede rastrear.

Pruebe desde un cliente Wi-Fi, no desde la puerta de enlace

Una solicitud correcta en la puerta de enlace demuestra que el túnel funciona para la puerta de enlace. La verdadera pregunta es si el tráfico reenviado de un cliente inalámbrico lo usa, y eso hay que observarlo desde el cliente. Los comandos siguientes comprueban la dirección del cliente, su ruta y la dirección que ve un servicio remoto.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Una dirección dentro de la LAN de la puerta de enlace confirma que el puente deja pasar tramas en lugar de traducirlas. Una ruta cuyo primer salto es la puerta de enlace confirma que el cliente no ha adquirido una segunda ruta predeterminada desde otro sitio. La comprobación de la dirección de salida responde a la pregunta real, y el trazado corto muestra si los primeros saltos son los esperados. Si la dirección del cliente viene de un ámbito distinto, el primer sospechoso es un servidor DHCP extraviado.

Anote el papel de cada caja, su dirección y la autoridad DHCP. Un diagrama de tres líneas basta, y resuelve la mayoría de las discusiones sobre dónde corresponde una regla.

Artículos relacionados