Wi-Fi juurdepääsupunkt VPN-lüüsi taga: hoidke üks kohtvõrk

Sillatud juurdepääsupunkt või teine marsruuditud segment? Erinevus on selles, kellele kuuluvad adresseerimine, DNS ja tunnel, ning see otsustab, kus poliitika elab.

Traadita kliendid võivad istuda VPN-i taga, ilma et juurdepääsupunkt teaks tunnelist midagi. Sillake raadio lüüsi kohtvõrku, jätke adresseerimine ja tunnel lüüsile, ja iga Wi-Fi seade pärib sama poliitika. Alternatiiv, teine marsruuditud segment oma lüüsiga, on teistsugune lahendus teistsuguse tõrkerežiimiga.

Neid aetakse segamini, sest mõlemad panevad kasti interneti ja teie seadmete vahele. Võrrelda, millele kumbki õiguse omab, on kiireim viis valida.

Kaks viisi VPN-i Wi-Fi ette panemiseks

Sillatud paigutuses kannab juurdepääsupunkt kaadreid raadio ja kaablisegmendi vahel ega midagi muud: üks alamvõrk, üks aadresside haldaja, üks ruuter, mis poliitikat rakendab. Marsruuditud paigutuses on teisel kastil oma aadressid, oma DHCP-vahemik ja oma vaike-marsruut, nii et liiklus ületab enne tunnelini jõudmist veel ühe piiri. Sillatud lahendus muudab iga traadita seadme lüüsi jaoks kohalikuks, mistõttu katab neid kõiki üks reeglistik. Marsruuditud lahendus annab teile segmendi, mille üle mõelda, ja teise koha, kus poliitika saab valesti minna.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Valige sillatud, kui nõue on, et traadita seadmed kasutaksid sama tunnelit mis kaabliseadmed. Valige marsruuditud, kui soovite segmenti, mida saab isoleerida, või kui teine kast on juba ruuterina olemas.

Mida sillatud paigutus tegelikult muudab

Sillastamine eemaldab tõlkekihi ja konkureeriva vaikelüüsi ning lisab haldusprobleemi. Juurdepääsupunkt vajab endiselt aadressi, kuhu pääsete, mille tarnija töövoog tavaliselt peamise kohtvõrgu kaudu korraldab. Selle DHCP-teenus peab olema väljas, muidu jagavad kaks haldajat vastuolulisi rendilepinguid. Lüüs hoiab tunnelit, resolveri seadeid ja otsust selle kohta, mis juhtub, kui tunnel maha kukub, seega elab poliitika täpselt ühes kohas.

Raadio ei päri sellest midagi tunnelilt automaatselt. See lihtsalt lõpetab kihtide lisamise, mis seda varjaksid.

Kuhu teine marsruuditud segment sobib

Marsruuditud segment väärib oma keerukust siis, kui selle taga olevad seadmed vajavad muust kohtvõrgust erinevat kohtlemist. Külalisvõrk, labor või klientide kogum, kes peavad alati väljuma läbi kindla riigi, on kõik põhjused panna marsruuter teele. Hind on teine aadresside haldaja, teine tulemüür, mida tuleb kooskõlas hoida, ja tagasitee peamisest kohtvõrgust, kui keegi seal peab segmenti pääsema. Need on kohustused, mitte konfiguratsiooni üksikasjad.

Tavaline viga on ehitada marsruuditud versioon kogemata, kasutades uuesti ruuterit, mis ajab endiselt oma DHCP-d ja tõlget. See annab kahekordse tõlke ja poliitika, mida keegi ei suuda jälgida.

Testige Wi-Fi kliendist, mitte lüüsist

Edukas päring lüüsil tõestab, et tunnel töötab lüüsi jaoks. Tõeline küsimus on, kas traadita kliendi edastatud liiklus seda kasutab, ja seda tuleb jälgida kliendist. Allolevad käsud kontrollivad kliendi aadressi, selle marsruuti ja aadressi, mida näeb kaugteenus.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Aadress lüüsi kohtvõrgu sees kinnitab, et sild laseb kaadrid läbi, mitte ei tõlgi neid. Marsruut, mille esimene hüpe on lüüs, kinnitab, et klient ei ole saanud teist vaikemarsruuti mujalt. Väljumisaadressi kontroll vastab tõelisele küsimusele ja lühike jälg näitab, kas esimesed hüpped on oodatud. Kui kliendi aadress tuleb teisest vahemikust, on esimene kahtlusalune eksinud DHCP-server.

Kirjutage üles iga kasti roll, selle aadress ja DHCP haldaja. Kolme joonega diagramm on piisav ja lahendab enamiku vaidlusi selle üle, kuhu reegel kuulub.

Seotud artiklid