Wi-Fi kliendi isolatsioon versus VPN-i kohalik juurdepääs: mis sind blokeerib

Pane kaks telefoni samasse külalis-SSID-sse ja kumbki ei näe teist, ent mõlemad jõuavad internetti. Lisa ühele VPN-klient ja kolme meetri kaugusel olev printer jääb nähtamatuks, samal ajal kui teisel kontinendil asuv server vastab pingidele. Tunnelis pole midagi katki; mängus on kaks eraldi juurdepääsuotsust ja ainult üks neist puudutab marsruutimist. Juurdepääsupunkt otsustab, kas traadita kliendid tohivad omavahel rääkida, ja VPN-klient otsustab, millised sihtkohad tunnelist väljuvad. Nende kahe segamine toob tunde kasutut konfiguratsiooni muutmist.

Kaks väravat on sõltumatud

Kliendi isolatsioon on kommuteerimisotsus. Juurdepääsupunkt võtab vastu kaadri ühelt seotud jaamalt, vaatab sihtkohta, märkab, et sihtkoht on teine jaam samas sillas, ja viskab kaadri ära. Jaama IP-aadress ei ole selle otsuse jaoks oluline, samuti mitte VPN.

Marsruutimine on teine otsus, mis tehakse kliendis. VPN-i marsruutimistabel otsustab, kas pakett aadressile 192.168.1.50 siseneb tunnelisse või väljub Wi-Fi-liidese kaudu. Kui pakett väljub Wi-Fi kaudu ja juurdepääsupunkt isoleerib kliente, sureb see juurdepääsupunktis. Kui pakett siseneb tunnelisse, ei näe juurdepääsupunkt algset sihtkohta kunagi ega saa midagi isoleerida.

Mida isolatsioon tüüpilisel juurdepääsupunktil blokeerib

Tootjad pakuvad seda mitme nime all: kliendi isolatsioon, AP isolatsioon, jaama isolatsioon või külalisvõrk, mis seda eeldab. OpenWrt-is on liidesepõhine valik isolate traadita konfiguratsiooni sees, nagu kirjeldab traadita võrgu dokumentatsioon, ja külalis-SSID saab tavaliselt oma silla ning tulemüüri tsooni. Tulemus on see, et unicast-kaadrid klientide vahel ei läbi silda, mistõttu ping, SMB-ühendus või naabrile saadetud printimistöö ebaõnnestub, kuigi mõlemad seadmed näitavad täissignaali.

Avastamisprotokollid kannatavad kõigepealt ja kõige nähtavamalt. Printerite ja meediaseadmete mDNS sõidab multicastina aadressile 224.0.0.251, SSDP kasutab aadressi 239.255.255.250, ja see, kas need kaadrid sillast üle lähevad, sõltub tootjast ning sellest, kas multicast-ist unicast-iks teisendamine on sisse lülitatud. Loendist puuduv seade on nõrgem tõend kui ebaõnnestunud otseühendus tuntud aadressile.

Mida VPN muudab ja mida see muuta ei saa

Täistunnel võtab vaikimisi marsruudi, seega kohalikud alavõrgud on kättesaadavad ainult siis, kui klient hoiab nende jaoks täpsemat marsruuti. Jaotatud tunnelid teevad vastupidist ja säilitavad kohaliku juurdepääsu disaini järgi. Kumbki säte ei saa sundida isoleerivat juurdepääsupunkti kaadrit kahe oma kliendi vahel edastama, seepärast on kohaliku liikluse lubamine VPN-kliendis vajalik, kuid mitte piisav.

Vastupidine juhtum on sama tavaline. Juurdepääsupunkt lubab võrdsete vahelist liiklust, VPN-klient jätab kohaliku alavõrgu tunnelist välja, ja printer ei vasta ikka, sest hosti tulemüür käsitleb Wi-Fi-võrku avalikuna. Kolm kihti, kolm erinevat vaikimisi väärtust, ja enamikus VPN-logides on näha ainult marsruut.

Tee kindlaks, milline värav on suletud

Alusta testist, mis võtab VPN-i pildilt välja: ühenda kaks tavalist seadet sama SSID-ga ja proovi ühest teiseni aadressi kaudu jõuda. Kui see ebaõnnestub, isoleerib juurdepääsupunkt ja ükski VPN-i säte ei paranda seda. Kui õnnestub, mine kliendi juurde ja käivita Linuxis ip route get 192.168.1.50 või Windowsis Find-NetRoute -RemoteIPAddress 192.168.1.50; väljund nimetab liidese, mida pakett kasutab.

Kui marsruut osutab Wi-Fi-liidesele, väljub pakett krüpteerimata ja küsimuseks saab, kas juurdepääsupunkt ja hosti tulemüür seda lubavad. Kui marsruut osutab tunnelile, saadetakse sihtkoht VPN-serverile, mis on sama kohtvõrgu seadme jaoks vale ja tähendab tavaliselt, et tunneli lubatud loend on liiga lai.

Otseühendus printeri pordiga on parem test kui avastusloend. nc -vz 192.168.1.50 9100 Linuxis või Test-NetConnection 192.168.1.50 -Port 9100 PowerShellis ütleb, kas aadress on üldse kättesaadav, enne kui rakendustasandi sidumine arutellu tuleb.

Vali parandus vastavalt võrgule, kus oled

Hotelli või külalisvõrgus on isolatsioon tahtlik ja sa ei peaks proovima seda ületada. Käsitle kohalikku seadet kättesaamatuna, kasuta VPN-i, et jõuda hostini, mis saab printida või jagada, ja lõpeta SSID kohtlemine kohtvõrguna.

Kodus on isolatsiooni väljalülitamine põhi-SSID-l mõistlik, kui seadmed on sinu omad, samal ajal kui külalis-SSID jääb isoleerituks. Säte asub juurdepääsupunkti traadita konfiguratsioonis ja kuulub sinna, mitte iga kliendi tulemüüri eranditesse.

Kontoris eelda, et juurdepääsupunkt, VLAN ja hosti tulemüür on kõik tahtlikud. Eskaleeri testitulemustega, selle asemel et paluda isolatsiooni välja lülitada, sest kliente eraldav võrk kaitseb tavaliselt midagi.

Kontrolli rakendust, mitte ainult pingi

Õnnestunud ping tõestab teed, mitte teenust. Printerid võtavad sageli vastu töötlemata 9100 või IPP pordil 631, kuid keelduvad avastamisest, ja failijagamine vajab 445 pluss töötavat nimelahendust. Kinnita port, mida rakendus kasutab, ja proovi seejärel seadmes tegelikku ülesannet uuesti.

Hoia kaks kihti märkmetes lahus: mida Wi-Fi-võrk lubab ja mida VPN marsruudib. Järgmisel korral, kui seade loendist kaob, ütleb see jaotus sulle, kuhu kõigepealt vaadata.