Gonbidatuen Wi-Fi sareak bide nagusia erabiltzen jarraitzen du: eman irteera propioa

Gonbidatuen sare bat sortu zenuen, horetarako bide bat gehitu, eta gonbidatuek zure interneteko ohiko konexiotik irteten jarraitzen dute. Tunela martxan dago, LAN nagusiak funtzionatzen du, eta gonbidatuen gailuek esleitutako barrutiko helbide bat jakinarazten dute, beraz, ez dirudi ezer hautsi denik. Normalean falta dena ez da bide bat, hautatzaile bat baizik: bideratzaileak bidea erabakitzen du paketea zein interfazetatik iritsi den kontuan hartu aurretik, eta ezerk gonbidatuen trafikoarekin berariaz bat egiten ez badu, trafiko horrek lehenetsia heredatzen du. Konponbidea segmentu bat, politika-arau bat eta erantzun-bide bat dira, hurrenez hurren.

Sintoma: gonbidatuek WAN-etik irteten jarraitzen dute

Seinalea irteera-helbidea da. Tunelaren bidez internet-era iristen den gonbidatuen gailu batek tunelaren hornitzailearen helbidea emango du, eta lehenetsia heredatu zuenak zure ohiko konexioa emango du. Konparatu gonbidatuen gailu bat eta LAN nagusiko gailu bat elkarren ondoan, zeren kasu interesgarria zuk konfiguratu zenuenaren desberdinak direnean eta elkarrekin bat egiten dutenean baita.

Bigarren seinalea tunelaren interfazean trafikorik ez egotea da gonbidatuak nabigatzen ari diren bitartean. Kontagailuak mugitzen ez badira, politikak ez zuen inoiz aplikatu, eta tunela bera doitzeak ezin du lagundu.

1. urratsa: benetako segmentua, ez izena soilik

SSID izen batek ez du isolamendurik sortzen. Egiaztatu gonbidatuen sarea bere interfaze, VLAN edo zubian amaitzen dela, eta helbide-barrutia konfiantzazko LANetik desberdina dela. Kontsumitzaileentzako sarbide-puntu askotan, gonbidatuen SSIDa gainerako guztiekin segmentu berean zubiatzen da, eta horrek gainerako lana ezinezkoa egiten du hori zuzendu arte.

Ondoren, berretsi gonbidatuen barrutia eta haren DHCP zerbitzaria, eta eduki ebazlearen ezarpenak segmentu horri lotuta, ez bideratzaile osoari. Firewall-arau baten iruzkin gisa soilik existitzen den gonbidatuen azpisarea ez da segmentu bat, eta bideratzaileak ez du bat etortzeko interfazerik izango.

Ez zubiatu gonbidatuak LAN nagusira VPNa konfiguratzea errazteko. Horrek nahi zenuen isolamendua bideratze-lasterbide baten truke aldatzen du, eta hori da gonbidatuen sareak inprimagailu eta NASerako sarbidea izateko ohiko arrazoia.

2. urratsa: hautatu tunela iturriaren arabera

Bideratze-taulak helmugaren arabera hautatzen dira, beraz, «0.0.0.0/0 tunelera bidali» dioen araua guztiei aplikatzen zaie. Politika-bideratzeak bigarren dimentsio bat gehitzen du: hautatu taula iturri-helbidearen arabera. Linuxen oinarritutako bideratzaile batean, arau gehigarri bat eta taula dedikatu bat dira, eta ordena garrantzitsua da bat datozen lehen arauak irabazten baitu:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Azken komando horrek zuzenean erantzuten dio galderari: zein interfaze erabiliko duen iturri honek helmuga honetarako. Exekutatu aldaketaren aurretik eta ondoren, eta politikak eragin duen jakingo duzu nabigatzailea ukitu gabe.

Bideratzaileen firmware gehienek gauza bera adierazten dute interfaze-arau edo iturrian oinarritutako atebide-hautaketaren bidez. Zure plataformak erabiltzen duen sintaxia edozein dela, printzipioa bera da: bat etorri sarrera-interfazearekin edo iturri-aurrizkiarekin, eta gero gainidatzi bidea bat etortze horretarako bakarrik. Helmugaren arabera bat datozen arau batek ezin ditu gonbidatua eta etxeko gailua bereizi.

3. urratsa: erantzun-bidea eta itzulpena

Tunelaren bidez irteten den paketeak itzuli behar du. Edo tunelaren kideak gonbidatuen aurrizkirako itzulera-bidea ezagutzen du, edo bideratzaileak gonbidatuen iturria tunelaren helbidera itzultzen du. Aukeratu bat eta idatzi, hutsegite-moduek desberdinak diruditelako: itzulera-bide bat falta denean, konexio bat ezartzen da baina ez du inoiz erantzuten; itzulpena falta denean, berriz, askotan ez da ezer lortzen.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Itzulpena aukeratzen baduzu, gogoratu kideak gonbidatu bakoitzeko helbide bakarra ikusten duela orain, beraz, urruneko muturreko bezero bakoitzeko politika guztiak desagertzen dira. Helbideak mantentzen badituzu, bi muturrek gonbidatuen aurrizkia behar dute beren bideratzean eta politikan, eta hori lan gehiago da eta aurreikusteko errazagoa.

IPv6k bere araua behar du. IPv4rako idatzitako politika batek ez du beste familia estaltzen, eta IPv6 lanean duen gonbidatuen gailu batek pozik erabiliko du, zuk arretaz bideratutako IPv4 bidea alferrik dagoen bitartean. Bideratu bi familiak edo desgaitu IPv6 gonbidatuen segmentuan, baina ez pentsatu idatzitako arau konbinatuak gailuak benetan egiten duena estaltzen duenik. Probatu bi familiak gaituta dituen bezero batekin, hori baita diseinuak gainditu behar duen kasua. IPv6 nahiago duen ordenagailu eramangarri bat zuzena dirudi IPv4 bakarrik duen proba batean, eta benetakoan ihes egiten du.

Probatu isolamendua, ez soilik nabigatzea

Nabigatzeak frogatzen du irteera aldatu dela. Ez du frogatzen segmentua isolatuta dagoenik, eta isolamendua da gonbidatuen sarea existitzearen arrazoia. Gonbidatuen gailu batetik, saiatu bideratzailearen administrazio-interfazea, konfiantzazko LANeko ostalari bat eta ukatu beharreko zerbitzu bat lortzen; hirurek huts egin behar dute, eta hutsak politika-erabakia izan behar du, inork azaldu ezin duen denbora-muga bat izan beharrean.

Gero probatu LAN nagusiko gailu bat eta berretsi haren irteera ez dela aldatu. Hori da diseinu honek sarrien eragiten duen erregresioa: gonbidatuei zuzendutako arau zabal bat, interfaze guztiei aplikatua, bat etortzea helmugaren arabera idatzi zelako.

Azkenik, erabaki zer gertatzen den tunela behera dagoenean. Gonbidatuek edo ez dute internetik izango, edo zuk onartutako bide batera pasatuko dira; erabaki gabe uzteak ohiko konexiora isil-isilik itzultzea esan nahi du, eta hori da gonbidatuen politikak saihestu nahi zuen ihesa. Internet-trafikoaren bideratze-errezeta pfSense-n oinarritutako bideratzaile baterako bide-hautaketa beretik igarotzen da.

Bideratzaileak sortutako DNSa da jendeari azkenik harridura sortzen dion kasua. Gonbidatuek bideratzailea ebazle gisa erabiltzen badute, bideratzailearen beraren kontsultak bideratzailearen bideari jarraitzen diote, ez gonbidatuen arauari, beraz, bilaketak ohiko konexiotik irten daitezke aplikazioaren trafikoa irten gabe. Eman segmentua, ebazlea eta hutsegite-politika ohar bakarrean, eta hurrengo pertsonak hirurak egiaztatu ahal izango ditu diseinua berriro eratorri gabe.