Etxeko VPN-soilik segmentua: itzali erreserbako bidea, ez SSID soilik
VPNko gonbidatu-SSID batek ez du VPN-soilik bihurtzen. Erabaki zer gertatzen den tunela erortzen denean, estali IPv6, eta probatu etenaldia etiketan fidatu aurretik.
Gonbidatu-SSIDa VPNan jartzen duzu eta segmentuari VPN-soilik deitzen diozu. Gero tunela bi minutuz erortzen da eta gailuak isilka itzultzen dira ohiko WANera. SSIDaren izenean ezerk ez zuen hori eragotzi. VPN-soilik segmentu bat tunela eskuragarri ez dagoenean gertatzen denaren bidez definitzen da, ez sarearen etiketaren bidez.
Etiketa promesa bat da; erreserbako politika da betearazpena.
Mitoa: SSIDa da muga
Bere birbidaltze-politika ez duen SSID bat izen bat besterik ez da. Muga interfaze, VLAN edo azpisare bereizi bat da, bere DHCP esparrua eta bere arauak dituena. VLAN batek Wi-Fi izen batek eman ezin duen birbidaltze-muga ematen dizu.
Bezeroen isolamendua ere diseinuaren parte da. Segmentuko bi gailuk elkarrekin hitz egitea behar izan dezakete, edo ez, eta aukera hori esplizitua izan behar litzateke, gonbidatu-profil batetik heredatu beharrean.
Idatzi segmentuaren interfazea eta helbide-barrutia arau bakarra idatzi aurretik. Lerro bakar horrek geroagoko nahasmenaren zatirik handiena saihesten du.
Mitoa: tunelaren bideak protokolo guztiak hartzen ditu
Aplikatu firmwarearen politika segmentu horri, haren Interneteko trafikoak tunela erabil dezan. Konfiguratu tunelak behar dituen urruneko birbidaltzea eta itzulpena. Mantendu segmentuak benetan behar duen tokiko baliabideen sarbidea soilik.
Egiaztatu bi helbide-familia. IPv6 tunelaren bidez eramaten ez bada, politikak hura kudeatu behar du, bestela IPv6 gaitasuna duen gailu batek nahi ez zenuen bide zuzen bat aurkituko du.
IPv4 soilik eta IPv6 gaituta dituen gelditzeko etengailua isurtzeko modu ohikoa da. Probatu IPv6 gaitasuna duen bezero batekin, ez bakarrik eskura duzun eramangarriarekin.
Mitoa: DNSak eta tunelaren muturrak tunelari jarraitzen diote
Routerraren DNSa lokalean sor daiteke eta routerraren beraren bideratze-taulari jarrai diezaioke, ez segmentuaren politikari. Erabaki zein bide erabili behar duen ebazle horrek eta zer egiten duen tunelak huts egiten duenean. VPNaren beraren muturreko konexioa beste salbuespen bat da: parekoaren arteko kanpoko bide dokumentatua behar du. Bideratu konexio hori tunelera eta ezingo da altxatu.
Eduki berreskuratze-administrazioa segmentuaren Internet sarbidetik bereizita. Pareko batek huts egiten badu eta routerretik ere kanpo uzten bazaitu, tunel-etena tokiko bisita bihurtu duzu. Eduki sarbide hori kudeaketa-sare batean, ez VPN-soilik segmentuan.
Zerk egiten du benetan VPN-soilik
Blokeatu segmenturako WAN birbidaltze arrunta tunela behera dagoen bakoitzean. Arau horrek, ez SSIDak, egiten du etiketa egiazkoa. Probatu segmentuko gailu batetik etorritako trafiko kaltegabearekin.
Egin hiru egiaztapen: tunelaren bidezko funtzionamendu arrunta, tunela behera dagoela baimendutako hutsegite-proba, eta itzultzen denean berreskuratzea. Egiaztatu beste etxe-segmentu batek bere aurreikusitako bidea mantentzen duela denboran zehar. Dokumentatu edozein salbuespen zuzen, bestela etiketak jada gogoratzen ez dituzun bideak ezkutatuko ditu.
Segmentuaren, hautatutako tunelaren eta salbuespenen erregistro laburrak egiaztapen zehatzak ematen dizkizu firmware eguneratze batek arauen ordena edo ebazlearen portaera aldatzen duenean. pfSense WireGuard bezeroaren errezeta erreferentzia erabilgarria da tunelaren aldean, ez segmentuaren politikaren ordezkoa.