Wi-Fi bezeroen isolamendua VPN sarbide lokalaren aurka: zerk blokeatzen zaituen

Jarri bi telefono SSID berberan eta batek ez du bestea ikusten, baina biek iristen dute internetera. Gehitu VPN bezero bat horietako batean eta hiru metrora dagoen inprimagailua ikusezin jarraitzen du, beste kontinente bateko zerbitzari batek pings erantzuten dion bitartean. Tunelak ez du ezer hautsita; bi sarbide-erabaki bereizi daude jokoan, eta horietako bakarra da bideratzeaz. Sarbide-puntuak erabakitzen du haririk gabeko bezeroek elkarrekin hitz egin dezaketen, eta VPN bezeroak erabakitzen du zein helburuk uzten duten tunela. Bi horiek nahasteak orduak ematen ditu alferrikako konfigurazio aldaketetan.

Bi ateak independenteak dira

Bezeroen isolamendua kommutazio-erabakia da. Sarbide-puntuak estazio elkartu batetik marko bat onartzen du, helmugari begiratzen dio, helmuga zubi bereko beste estazio bat dela ohartzen da eta markoa bota egiten du. Estazioaren IP helbidea ez da garrantzitsua erabaki horretarako, eta VPN ere ez.

Bideratzea bezeroan hartzen den beste erabaki bat da. VPNaren bideratze-taulak erabakitzen du 192.168.1.50rako pakete bat tunelera sartzen den edo Wi-Fi interfazetik ateratzen den. Paketea Wi-Fi bidez ateratzen bada eta sarbide-puntuak bezeroak isolatzen baditu, sarbide-puntuan hiltzen da. Paketea tunelera sartzen bada, sarbide-puntuak ez du inoiz jatorrizko helmuga ikusten eta ezin du ezer isolatu.

Sarbide-puntu tipiko batean isolamenduak zer blokeatzen duen

Fabrikatzaileek hainbat izenekin banatzen dute: bezeroen isolamendua, AP isolamendua, estazioen isolamendua edo hori inplikatzen duen gonbidatu-sarea. OpenWrten interfaze bakoitzeko aukera isolate da haririk gabeko konfigurazioaren barruan, haririk gabeko dokumentazioan deskribatzen den bezala, eta gonbidatu-SSID batek normalean bere zubia eta suebaki-eremua izaten ditu. Ondorioa da bezeroen arteko unicast markoak ez direla zubiratzen, beraz auzoko bati ping, SMB konexio edo inprimaketa-lan batek huts egiten du, bi gailuek seinale osoa erakusten duten arren.

Aurkikuntza-protokoloek pairatzen dute lehenengo eta modu ikusgarrienean. Inprimagailu eta multimedia gailuetarako mDNSek multicast bidez bidaltzen du 224.0.0.251ra, SSDPk 239.255.255.250 erabiltzen du, eta marko horiek zubia zeharkatzen duten ala ez fabrikatzailearen eta multicast-unicast bihurketa aktibo dagoen ala ez dagoen araberakoa da. Zerrenda batetik falta den gailua frogakizun ahulagoa da helbide ezagun baterako zuzeneko konexio huts batek baino.

VPNak zer aldatzen duen, eta zer ezin duen aldatu

Tunel oso batek bide lehenetsia hartzen du, beraz sare lokaleko azpisareak haietarako bide zehatzagoa gordetzen badu soilik iristen dira. Tunel zatituek kontrakoa egiten dute eta sarbide lokala diseinuz gordetzen dute. Bi ezarpenek ezin dute sarbide-puntu isolatzaile bat bere bi bezeroen artean marko bat birbidaltzera behartu, horregatik VPN bezeroan tokiko trafikoa baimentzea beharrezkoa da baina ez nahikoa.

Alderantzizko kasua beste hainbeste da ohikoa. Sarbide-puntuak parekoen arteko trafikoa baimentzen du, VPN bezeroak azpisare lokala tunelatik kanpo uzten du, eta inprimagailuak oraindik ez du erantzuten ostalariaren suebakiak Wi-Fi sarea publikotzat hartzen duelako. Hiru geruza, hiru lehenetsi desberdin, eta VPN erregistro gehienetan bidea soilik da ikusgai.

Erabaki zein ate dagoen itxita

Hasi VPNa iruditik kentzen duen proba batekin: konektatu bi gailu arrunt SSID berberara eta saiatu batetik bestera helbidearen bidez iristen. Hori huts egiten badu, sarbide-puntuak isolatzen du eta VPN ezarpen batek ere ez du konponduko. Lortzen bada, joan bezeroera eta exekutatu ip route get 192.168.1.50 Linuxen edo Find-NetRoute -RemoteIPAddress 192.168.1.50 Windowsean; irteerak paketeak erabiliko duen interfazea izendatzen du.

Bideak Wi-Fi interfazea seinalatzen duenean, paketea zifratu gabe ateratzen da eta galdera sarbide-puntuak eta ostalariaren suebakiak hori baimentzen duten ala ez bihurtzen da. Bideak tunela seinalatzen duenean, helmuga VPN zerbitzarira bidaltzen ari da, eta hori okerra da LAN bereko gailu baterako eta normalean tunelaren baimendutako zerrenda zabalegia dela esan nahi du.

Inprimagailuaren portura zuzeneko konexioa aurkikuntza-zerrenda bat baino proba hobea da. nc -vz 192.168.1.50 9100 Linuxen edo Test-NetConnection 192.168.1.50 -Port 9100 PowerShell-en esaten dizu helbidea iristeko modukoa den ala ez, aplikazio mailako parekatzerik eztabaidara sartu aurretik.

Aukeratu zauden sarearentzako konponbidea

Hotel edo gonbidatu sare batean isolamendua nahita egindakoa da eta ez zenuke gainditzen saiatu behar. Hartu gailu lokala iritsiezintzat, erabili VPNa inprimatu edo partekatu dezakeen ostalari batera iristeko, eta utzi SSIDa LAN gisa tratatzeari.

Etxean, isolamendua SSID nagusian desgaitzea zentzuzkoa da gailuak zureak direnean, gonbidatu-SSIDa isolatuta geratzen den bitartean. Ezarpena sarbide-puntuaren haririk gabeko konfigurazioan bizi da, eta hantxe dagokio, ez bezero bakoitzeko suebaki-salbuespenetan.

Bulegoan, suposatu sarbide-puntua, VLANa eta ostalariaren suebakia guztiak nahita daudela. Eskalatu proben emaitzekin isolamendua desaktibatzea eskatu beharrean, bezeroak bereizten dituen sareak normalean zerbait babesten duelako.

Egiaztatu aplikazioa, ez soilik pinga

Ping arrakastatsu batek bidea frogatzen du, ez zerbitzua. Inprimagailuek askotan 9100 gordina edo IPP onartzen dute 631n, baina aurkikuntza ukatzen dute, eta fitxategi-partekatzeak 445 behar du eta izen-ebazpen zuzena. Berretsi aplikazioak erabiltzen duen porta eta gero saiatu berriro gailuan benetako zeregina.

Eduki bi geruzak bereizita zure oharretan: Wi-Fi sareak zer baimentzen duen eta VPNak zer bideratzen duen. Hurrengo aldiz gailu bat zerrenda batetik desagertzen denean, banaketa horrek esango dizu non begiratu lehenengo.