جداسازی کلاینت Wi-Fi در برابر دسترسی محلی VPN: چه چیزی شما را مسدود می‌کند

دو گوشی را روی یک SSID مهمان بگذارید؛ هیچ‌کدام دیگری را نمی‌بیند، اما هر دو به اینترنت می‌رسند. روی یکی از آنها یک کلاینت VPN اضافه کنید: چاپگری که سه متر دورتر است نامرئی می‌ماند و در همان حال سروری در قاره‌ای دیگر به ping پاسخ می‌دهد. هیچ چیز در تونل خراب نیست؛ دو تصمیم جداگانه دسترسی در کار است و فقط یکی از آنها دربارهٔ مسیریابی است. نقطهٔ دسترسی تعیین می‌کند که آیا کلاینت‌های بی‌سیم می‌توانند با هم صحبت کنند، و کلاینت VPN تعیین می‌کند که کدام مقصدها از تونل خارج شوند. اشتباه گرفتن این دو، ساعت‌ها تغییر تنظیمات بی‌فایده به بار می‌آورد.

دو دروازه مستقل هستند

جداسازی کلاینت یک تصمیم سوئیچینگ است. نقطهٔ دسترسی یک فریم را از یک ایستگاه مرتبط می‌پذیرد، به مقصد نگاه می‌کند، متوجه می‌شود که مقصد ایستگاه دیگری روی همان پل است و آن را دور می‌اندازد. نشانی IP ایستگاه برای این تصمیم بی‌اهمیت است، و VPN هم همین‌طور.

مسیریابی تصمیم دیگری است که روی کلاینت گرفته می‌شود. جدول مسیر VPN تعیین می‌کند که بسته‌ای برای 192.168.1.50 وارد تونل می‌شود یا از رابط Wi-Fi خارج می‌شود. اگر بسته از Wi-Fi خارج شود و نقطهٔ دسترسی کلاینت‌ها را جدا کند، در نقطهٔ دسترسی از بین می‌رود. اگر بسته وارد تونل شود، نقطهٔ دسترسی هرگز مقصد اصلی را نمی‌بیند و نمی‌تواند چیزی را جدا کند.

جداسازی روی یک نقطهٔ دسترسی معمول چه چیزی را مسدود می‌کند

فروشندگان این را با چند نام عرضه می‌کنند: جداسازی کلاینت، جداسازی AP، جداسازی ایستگاه، یا شبکهٔ مهمانی که آن را در پی دارد. در OpenWrt گزینهٔ هر رابط isolate درون پیکربندی بی‌سیم است، همان‌گونه که در مستندات شبکهٔ بی‌سیم توضیح داده شده، و SSID مهمان معمولاً پل و ناحیهٔ فایروال خودش را می‌گیرد. اثر آن این است که فریم‌های unicast میان کلاینت‌ها پل نمی‌شوند، بنابراین ping، اتصال SMB یا کار چاپ به همسایه شکست می‌خورد، حتی وقتی هر دو دستگاه سیگنال کامل نشان می‌دهند.

پروتکل‌های کشف نخستین و آشکارترین آسیب را می‌بینند. mDNS برای چاپگرها و دستگاه‌های رسانه‌ای با multicast به 224.0.0.251 می‌رود، SSDP از 239.255.255.250 استفاده می‌کند، و اینکه این فریم‌ها از پل عبور کنند به فروشنده و به فعال بودن تبدیل multicast به unicast بستگی دارد. دستگاهی که از فهرستی غایب است شاهد ضعیف‌تری از شکست یک اتصال مستقیم به نشانی شناخته‌شده است.

VPN چه چیزی را تغییر می‌دهد و چه چیزی را نمی‌تواند تغییر دهد

تونل کامل مسیر پیش‌فرض را می‌گیرد، پس به زیرشبکه‌های محلی فقط وقتی می‌رسید که کلاینت مسیر مشخص‌تری برای آنها نگه دارد. تونل‌های تقسیم‌شده برعکس عمل می‌کنند و دسترسی محلی را به‌طور طراحی‌شده حفظ می‌کنند. هیچ‌یک از این تنظیمات نمی‌تواند نقطهٔ دسترسی جداساز را وادار کند فریمی را میان دو کلاینتش عبور دهد، به همین دلیل اجازه دادن به ترافیک محلی در کلاینت VPN لازم است اما کافی نیست.

حالت برعکس هم به همان اندازه رایج است. نقطهٔ دسترسی ترافیک همتا را اجازه می‌دهد، کلاینت VPN زیرشبکهٔ محلی را از تونل بیرون می‌گذارد، و چاپگر باز هم پاسخ نمی‌دهد چون فایروال میزبان شبکهٔ Wi-Fi را عمومی می‌داند. سه لایه، سه پیش‌فرض متفاوت، و در بیشتر گزارش‌های VPN تنها مسیر دیده می‌شود.

مشخص کنید کدام دروازه بسته است

با آزمونی شروع کنید که VPN را از تصویر بیرون می‌برد: دو دستگاه معمولی را به یک SSID وصل کنید و بکوشید یکی را از دیگری با نشانی صدا بزنید. اگر این شکست بخورد، نقطهٔ دسترسی جدا می‌کند و هیچ تنظیم VPN آن را درست نمی‌کند. اگر موفق شود، به کلاینت بروید و ip route get 192.168.1.50 را در Linux یا Find-NetRoute -RemoteIPAddress 192.168.1.50 را در Windows اجرا کنید؛ خروجی نام رابطی را می‌آورد که بسته از آن استفاده خواهد کرد.

وقتی مسیر به رابط Wi-Fi اشاره می‌کند، بسته بدون رمزنگاری خارج می‌شود و پرسش این است که آیا نقطهٔ دسترسی و فایروال میزبان آن را اجازه می‌دهند. وقتی مسیر به تونل اشاره می‌کند، مقصد به سرور VPN فرستاده می‌شود، که برای دستگاهی در همان شبکهٔ محلی نادرست است و معمولاً یعنی فهرست مجاز تونل بیش از حد گسترده است.

اتصال مستقیم به پورت چاپگر آزمون بهتری از فهرست کشف است. nc -vz 192.168.1.50 9100 در Linux یا Test-NetConnection 192.168.1.50 -Port 9100 در PowerShell به شما می‌گوید نشانی اصلاً در دسترس است یا نه، پیش از آنکه هیچ جفت‌سازی در سطح برنامه وارد بحث شود.

اصلاح مناسب شبکه‌ای را که در آن هستید انتخاب کنید

در شبکهٔ هتل یا مهمان، جداسازی عمدی است و نباید بکوشید آن را بشکنید. دستگاه محلی را در دسترس‌نیافتنی بدانید، از VPN برای رسیدن به میزبانی که می‌تواند چاپ یا اشتراک کند استفاده کنید و دست از برخورد با SSID به‌عنوان شبکهٔ محلی بردارید.

در خانه، خاموش کردن جداسازی روی SSID اصلی وقتی دستگاه‌ها مال خودتان است معقول است، در حالی که SSID مهمان جدا می‌ماند. این تنظیم در پیکربندی بی‌سیم نقطهٔ دسترسی زندگی می‌کند و جای آن همان‌جاست، نه در استثناهای فایروال روی هر کلاینت.

در دفتر، فرض کنید نقطهٔ دسترسی، VLAN و فایروال میزبان همه عمدی هستند. با نتایج آزمون‌ها تشدید کنید نه با درخواست خاموش کردن جداسازی، چون شبکه‌ای که کلاینت‌ها را جدا می‌کند معمولاً از چیزی محافظت می‌کند.

برنامه را بررسی کنید، نه فقط ping را

یک ping موفق مسیر را اثبات می‌کند، نه سرویس را. چاپگرها اغلب 9100 خام یا IPP روی 631 را می‌پذیرند اما کشف را رد می‌کنند، و اشتراک فایل به 445 به‌همراه تحلیل نام درست نیاز دارد. پورتی را که برنامه استفاده می‌کند تأیید کنید، سپس کار واقعی را دوباره روی دستگاه بیازمایید.

در یادداشت‌هایتان دو لایه را جدا نگه دارید: آنچه شبکهٔ Wi-Fi اجازه می‌دهد و آنچه VPN مسیریابی می‌کند. دفعهٔ بعد که دستگاهی از فهرستی ناپدید شد، همین تفکیک به شما می‌گوید اول کجا را ببینید.