Ainult VPN-i kodune segment: lülita välja varutee, mitte ainult SSID
Külalis-SSID VPN-is ei tee sellest ainult-VPN-i. Otsusta, mis juhtub, kui tunnel katkeb, kata IPv6 ja testi katkestust, enne kui usaldad silti.
Paned külalis-SSID-i VPN-i ja nimetad segmendi ainult-VPN-iks. Siis kukub tunnel kaheks minutiks välja ja seadmed naasevad vaikselt tavalise WAN-i juurde. Miski SSID-i nimes ei takistanud seda. Ainult-VPN-i segment on määratletud sellega, mis juhtub, kui tunnel pole saadaval, mitte võrgu sildiga.
Silt on lubadus; varutee poliitika on jõustamine.
Müüt: SSID on piir
SSID, millel pole oma edastuspoliitikat, on lihtsalt nimi. Piiriks on eraldi liides, VLAN või alamvõrk, millel on oma DHCP-vahemik ja oma reeglid. VLAN annab sulle edastuspiiri, mida Wi-Fi nimi anda ei saa.
Kliendi isolatsioon kuulub samuti disaini. Segmendi kaks seadet võivad vajada omavahelist suhtlust või mitte, ja see valik peaks olema selgesõnaline, mitte külalisprofiilist päritud.
Kirjuta segmendi liides ja aadressivahemik üles enne, kui kirjutad üheainsa reegli. See üks rida hoiab ära suurema osa hilisemast segadusest.
Müüt: tunneli marsruut katab kõik protokollid
Rakenda püsivara poliitikat sellele segmendile, et selle internetti suunduv liiklus kasutaks tunnelit. Seadista kaugedastus ja tõlkimine, mida tunnel nõuab. Jäta alles ainult see kohalike ressursside juurdepääs, mida segment tegelikult vajab.
Kontrolli mõlemat aadressiperekonda. Kui IPv6 ei kandu läbi tunneli, peab poliitika sellega tegelema, muidu leiab IPv6-võimekusega seade otsetee, mida sa ei kavatsenud.
Ainult IPv4-le mõeldud hädaseiskamislüliti koos lubatud IPv6-ga on levinud lekkeviis. Testi IPv6-võimekusega kliendiga, mitte ainult sülearvutiga, mis sul käepärast on.
Müüt: DNS ja tunneli lõpp-punkt järgivad tunnelit
Ruuteri DNS-i saab luua kohapeal ja see võib järgida ruuteri enda marsruutimistabelit, mitte segmendi poliitikat. Otsusta, millist teed see resolver peaks kasutama ja mida see teeb, kui tunnel ebaõnnestub. VPN-i enda lõpp-punkti ühendus on veel üks erand: see vajab dokumenteeritud välist marsruuti võrdse juurde. Suuna see ühendus tunnelisse ja see ei saa püsti tõusta.
Hoia taastamise haldus segmendi internetiühendusest eraldi. Kui ebaõnnestunud võrdne lukustab sind ka ruuterist välja, oled muutnud tunneli katkestuse kohapealseks visiidiks. Hoia see juurdepääs haldusvõrgus, mitte ainult-VPN-i segmendis.
Mis teeb sellest tegelikult ainult-VPN-i
Blokeeri segmendi tavaline WAN-edastus alati, kui tunnel on maas. Just see reegel, mitte SSID, teeb sildi tõeseks. Testi seda kahjutu liiklusega segmendi seadmest.
Tee kolm kontrolli: tavaline töö läbi tunneli, lubatud tõrketest tunneliga maas ja taastamine, kui see naaseb. Kinnita, et teine kodune segment hoiab kogu aja oma kavandatud marsruuti. Dokumenteeri kõik otsesed erandid, muidu peidab silt radu, mida sa enam ei mäleta.
Lühike ülestähendus segmendist, valitud tunnelist ja eranditest annab sulle konkreetsed kontrollid pärast seda, kui püsivara uuendus muudab reeglite järjekorda või resolveri käitumist. pfSense WireGuardi kliendi retsept on kasulik viide tunneli poolele, mitte segmendi poliitika asendus.