Vain VPN -kotisegmentti: sammuta varareitti, älä vain SSID
Vieras-SSID VPN:ssä ei tee siitä vain-VPN:ää. Päätä, mitä tapahtuu, kun tunneli katkeaa, kata IPv6 ja testaa katkos ennen kuin luotat merkintään.
Laitat vieras-SSID:n VPN:hen ja kutsut segmenttiä vain-VPN:ksi. Sitten tunneli putoaa kahdeksi minuutiksi ja laitteet palaavat hiljaa tavalliseen WAN:iin. Mikään SSID:n nimessä ei estänyt sitä. Vain-VPN-segmentti määrittyy sen mukaan, mitä tapahtuu, kun tunneli ei ole käytettävissä, ei verkon merkinnän mukaan.
Merkintä on lupaus; varareittikäytäntö on toteutus.
Myytti: SSID on raja
SSID ilman omaa edelleenlähetyskäytäntöä on vain nimi. Raja on erillinen liitäntä, VLAN tai aliverkko, jolla on oma DHCP-aluensa ja omat sääntönsä. VLAN antaa edelleenlähetysrajan, jota Wi-Fi-nimi ei voi antaa.
Asiakaseristys kuuluu myös suunnitteluun. Segmentin kahden laitteen on ehkä puhuttava keskenään tai sitten ei, ja valinnan pitäisi olla eksplisiittinen eikä vierasprofiilista peritty.
Kirjoita segmentin liitäntä ja osoitealue muistiin ennen kuin kirjoitat yhtäkään sääntöä. Yksi rivi estää suurimman osan myöhemmästä sekaannuksesta.
Myytti: tunnelireitti kattaa jokaisen protokollan
Käytä laiteohjelmiston käytäntöä kyseiseen segmenttiin, jotta sen internetiin menevä liikenne käyttää tunnelia. Määritä etäedelleenlähetys ja käännös, joita tunneli vaatii. Säilytä vain se paikallisten resurssien käyttö, jota segmentti todella tarvitsee.
Tarkista molemmat osoiteperheet. Jos IPv6 ei kulje tunnelin läpi, käytännön on hoidettava se, tai IPv6-kykyinen laite löytää suoran reitin, jota et tarkoittanut.
Vain IPv4:lle tarkoitettu hätäkatkaisin IPv6:n ollessa käytössä on yleinen vuototapa. Testaa IPv6-kykyisellä asiakkaalla, älä vain käsillä olevalla kannettavalla.
Myytti: DNS ja tunnelin päätepiste seuraavat tunnelia
Reitittimen DNS voidaan luoda paikallisesti ja se voi seurata reitittimen omaa reititystaulua, ei segmentin käytäntöä. Päätä, mitä reittiä kyseisen resolverin pitäisi käyttää ja mitä se tekee, kun tunneli epäonnistuu. VPN:n oma päätepisteyhteys on toinen poikkeus: se tarvitsee dokumentoidun ulkoisen reitin vertaiselle. Ohjaa kyseinen yhteys tunneliin, niin se ei nouse.
Pidä palautushallinta erillään segmentin internetyhteydestä. Jos epäonnistunut vertainen lukitsee sinut myös reitittimen ulkopuolelle, olet muuttanut tunnelikatkoksen käynniksi paikan päällä. Pidä kyseinen pääsy hallintaverkossa, älä vain-VPN-segmentissä.
Mikä tekee siitä oikeasti vain-VPN:n
Estä segmentin tavallinen WAN-edelleenlähetys aina, kun tunneli on alhaalla. Juuri tämä sääntö, ei SSID, tekee merkinnästä toden. Testaa sitä vaarattomalla liikenteellä segmentin laitteesta.
Tee kolme tarkistusta: normaali toiminta tunnelin kautta, sallittu vikakoe tunnelin ollessa alhaalla ja palautuminen, kun se palaa. Varmista, että toinen kotisegmentti säilyttää oman aiottu reittinsä koko ajan. Dokumentoi kaikki suorat poikkeukset, muuten merkintä piilottaa reittejä, joita et enää muista.
Lyhyt kirjaus segmentistä, valitusta tunnelista ja poikkeuksista antaa sinulle konkreettiset tarkistukset, kun laiteohjelmistopäivitys muuttaa sääntöjärjestystä tai resolverin toimintaa. pfSense WireGuard -asiakasohje on hyödyllinen viite tunnelin puolelle, ei korvaa segmentin käytäntöä.