بخش خانگی فقط VPN: مسیر جایگزین را قطع کنید، نه فقط SSID را

SSID مهمان را روی VPN می‌گذارید و بخش را فقط-VPN می‌نامید. سپس تونل دو دقیقه قطع می‌شود و دستگاه‌ها بی‌صدا به WAN معمولی برمی‌گردند. هیچ چیز در نام SSID مانع آن نشد. یک بخش فقط-VPN با آنچه هنگام در دسترس نبودن تونل رخ می‌دهد تعریف می‌شود، نه با برچسب شبکه.

برچسب یک وعده است؛ سیاست مسیر جایگزین همان اجراست.

افسانه: SSID همان مرز است

SSID بدون سیاست ارسال خاص خود فقط یک نام است. مرز، یک رابط، VLAN یا زیرشبکه جداگانه با محدوده DHCP و قواعد خودش است. VLAN مرز ارسالی به شما می‌دهد که نام Wi-Fi نمی‌تواند بدهد.

جداسازی کلاینت‌ها هم بخشی از طراحی است. دو دستگاه در بخش ممکن است نیاز به گفتگو با یکدیگر داشته باشند یا نداشته باشند، و این انتخاب باید صریح باشد نه اینکه از نمایه مهمان به ارث برسد.

رابط و محدوده نشانی بخش را قبل از نوشتن حتی یک قاعده بنویسید. همان یک خط بیشتر سردرگمی بعدی را جلوگیری می‌کند.

افسانه: مسیر تونل همه پروتکل‌ها را پوشش می‌دهد

سیاست firmware را روی آن بخش اعمال کنید تا ترافیک اینترنتی‌اش از تونل استفاده کند. ارسال و ترجمه راه دوری را که تونل نیاز دارد پیکربندی کنید. فقط دسترسی به منابع محلی را که بخش واقعاً نیاز دارد نگه دارید.

هر دو خانواده نشانی را بررسی کنید. اگر IPv6 از تونل عبور نمی‌کند، سیاست باید آن را مدیریت کند، وگرنه دستگاهی با پشتیبانی IPv6 مسیر مستقیمی پیدا می‌کند که قصدش را نداشتید.

کلید قطع فقط برای IPv4 با IPv6 فعال، روش رایج نشت است. با کلاینتی که IPv6 را پشتیبانی می‌کند آزمایش کنید، نه فقط با لپ‌تاپی که در دست دارید.

افسانه: DNS و نقطه پایانی تونل از تونل پیروی می‌کنند

DNS روتر می‌تواند به‌صورت محلی تولید شود و از جدول مسیریابی خود روتر پیروی کند، نه سیاست بخش. تعیین کنید آن حل‌کننده از کدام مسیر استفاده کند و وقتی تونل شکست می‌خورد چه می‌کند. اتصال نقطه پایانی خود VPN استثنای دیگری است: به مسیر بیرونی مستندشده به همتا نیاز دارد. آن اتصال را به داخل تونل بفرستید و نمی‌تواند بالا بیاید.

مدیریت بازیابی را از دسترسی اینترنتی بخش جدا نگه دارید. اگر همتای شکست‌خورده شما را از روتر هم بیرون بگذارد، یک قطعی تونل را به بازدید حضوری تبدیل کرده‌اید. آن دسترسی را روی شبکه مدیریت نگه دارید، نه روی بخش فقط-VPN.

چه چیزی واقعاً آن را فقط-VPN می‌کند

هر زمان تونل پایین است، ارسال عادی WAN را برای بخش مسدود کنید. همان قاعده، نه SSID، برچسب را درست می‌کند. آن را با ترافیک بی‌ضرر از دستگاهی در بخش آزمایش کنید.

سه بررسی انجام دهید: کار عادی از طریق تونل، آزمون شکست مجاز با تونل پایین، و بازیابی وقتی برمی‌گردد. تأیید کنید که بخش خانگی دیگری در تمام مدت مسیر مورد نظر خود را حفظ می‌کند. هر استثنای مستقیم را مستند کنید، وگرنه برچسب مسیرهایی را پنهان می‌کند که دیگر به یاد نمی‌آورید.

ثبت کوتاهی از بخش، تونل انتخاب‌شده و استثناها پس از آنکه به‌روزرسانی firmware ترتیب قواعد یا رفتار حل‌کننده را تغییر داد، بررسی‌های مشخصی به شما می‌دهد. دستورالعمل کلاینت WireGuard در pfSense مرجعی مفید برای سمت تونل است، نه جایگزینی برای سیاست بخش.