Wi-Fi sarbide-puntua VPN atebide atzean: mantendu LAN bakarra

Zubidun sarbide-puntua edo bigarren segmentu bideratua? Aldea da nor den helbideratzearen, DNSaren eta tunelaren jabea, eta horrek erabakitzen du non bizi den politika.

Haririk gabeko bezeroak VPN baten atzean egon daitezke sarbide-puntuak tunelari buruz ezer ez dakiela. Zubitu irratia atebidearen LANera, utzi atebideari helbideratzea eta tunela, eta Wi-Fi-ko gailu bakoitzak politika bera heredatzen du. Alternatiba, atebide propioarekin bigarren segmentu bideratua, beste diseinu bat da, beste hutsegite modu batekin.

Biak nahasten dira, biak kutxa bat jartzen dutelako internetaren eta zure gailuen artean. Bakoitzak zer duen alderatzea da aukeratzeko modurik azkarrena.

Bi modu VPNa Wi-Fi-ren aurrera jartzeko

Zubidun antolamenduan sarbide-puntuak markoak eramaten ditu irratiaren eta kable segmentuaren artean eta besterik ez: azpisare bat, helbide-agintaritza bat, politika gauzatzen duen bideratzaile bat. Bideratutako antolamenduan bigarren kutxak bere helbideak, bere DHCP eremua eta bere bide lehenetsia ditu, beraz trafikoak beste muga bat zeharkatzen du tunelera iritsi aurretik. Zubidun diseinuak haririk gabeko gailu bakoitza atebidearentzat lokal bihurtzen du, eta horregatik arau-multzo batek denak estaltzen ditu. Bideratutako diseinuak pentsatzeko segmentu bat ematen dizu eta politika gaizki joan daitekeen bigarren leku bat.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Aukeratu zubiduna haririk gabeko gailuek kabledunekin tunel bera erabiltzea eskatzen denean. Aukeratu bideratua isolatu daitekeen segmentu bat nahi duzunean, edo bigarren kutxa bideratzaile gisa badagoenean.

Zer aldatzen duen zubidun antolamenduak benetan

Zubitzeak itzulpen geruza bat eta bide lehenetsi lehiakide bat kentzen ditu, eta kudeaketa arazo bat gehitzen du. Sarbide-puntuak oraindik irits daitekeen helbide bat behar du, eta saltzailearen lan-fluxuak LAN nagusiaren bidez konpontzen du hori. Bere DHCP zerbitzua itzalita egon behar da, bestela bi agintaritzak kontraesankorrak diren kontratuak banatuko dituzte. Atebideak tunela, ebazlearen ezarpenak eta tunela erortzen denean zer gertatzen den erabakitzen du, beraz politika leku bakarrean bizi da.

Irratiak ez du horietatik ezer automatikoki heredatzen tunelatik. Bakarrik uzten dio estaliko luketen geruzak gehitzen.

Non sartzen den bigarren segmentu bideratua

Segmentu bideratuak bere konplexutasuna irabazten du atzean dauden gailuek LANaren gainerakoekin baino tratamendu desberdina behar dutenean. Bisitarien sare bat, laborategi bat edo beti herrialde jakin batetik atera behar duen bezero-multzo bat arrazoi guztiak dira bideratzaile bat bidean jartzeko. Kostua bigarren helbide-agintaritza bat, koherente mantendu beharreko bigarren suebaki bat eta LAN nagusitik itzultzeko bide bat da, han norbaitek segmentura iritsi behar badu. Betebeharrak dira, ez konfigurazio xehetasunak.

Ohiko akatsa bideratutako bertsioa ustekabean eraikitzea da, oraindik bere DHCP eta itzulpena exekutatzen dituen bideratzaile bat berrerabiliz. Horrek itzulpen bikoitza eta inork jarraitu ezin duen politika sortzen ditu.

Probatu Wi-Fi bezero batetik, ez atebidetik

Atebidean eskaera arrakastatsu batek frogatzen du tunelak atebidearentzat funtzionatzen duela. Benetako galdera haririk gabeko bezero baten birbidalitako trafikoak hura erabiltzen duen ala ez da, eta hori bezerotik behatu behar da. Beheko komandoek bezeroaren helbidea, bere bidea eta urruneko zerbitzu batek ikusten duen helbidea egiaztatzen dituzte.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Atebidearen LANaren barruko helbide batek zubiak markoak itzuli beharrean pasatzen dituela baieztatzen du. Lehen jauzia atebidea duen bide batek bezeroak ez duela beste nonbaitik bigarren bide lehenetsirik lortu baieztatzen du. Irteera-helbidearen egiaztapenak benetako galderari erantzuten dio, eta arrasto laburrak lehen jauziak espero direnak diren erakusten du. Bezeroaren helbidea beste eremu batetik badator, lehen susmagarria noraezean dabilen DHCP zerbitzari bat da.

Idatzi kutxa bakoitzaren rola, bere helbidea eta DHCP agintaritza. Hiru lerroko diagrama nahikoa da, eta arau bat non kokatzen den buruzko eztabaida gehienak konpontzen ditu.

Erlazionatutako artikuluak