Wi-Fi-tukiasema VPN-yhdyskäytävän takana: pidä yksi lähiverkko

Langattomat asiakkaat voivat olla VPN:n takana ilman, että tukiasema tietää tunnelista mitään. Sillaa radio yhdyskäytävän lähiverkkoon, anna yhdyskäytävän omistaa osoitteet ja tunneli, ja jokainen Wi-Fi-laitteen laite perii saman käytännön. Vaihtoehto, toinen reititetty segmentti omalla yhdyskäytävällä, on erilainen suunnittelu, jolla on erilainen vikatila.

Kaksi menee sekaisin, koska molemmat laittavat laatikon internetin ja laitteidesi väliin. Sen vertaaminen, mitä kumpikin omistaa, on nopein tapa valita.

Kaksi tapaa laittaa VPN Wi-Fi:n eteen

Sillatussa asetelmassa tukiasema kuljettaa kehyksiä radion ja kaapeloidun segmentin välillä eikä muuta: yksi aliverkko, yksi osoiteviranomainen, yksi reititin, joka toteuttaa käytäntöä. Reititetyssä asetelmassa toisella laatikolla on omat osoitteet, oma DHCP-alue ja oma oletusreitti, joten liikenne ylittää vielä yhden rajan ennen tunneliin pääsyä. Sillattu suunnittelu saa jokaisen langattoman laitteen näyttämään paikalliselta yhdyskäytävälle, ja siksi yksi sääntöjoukko kattaa ne kaikki. Reititetty suunnittelu antaa sinulle segmentin ajateltavaksi ja toisen paikan, jossa käytäntö voi mennä pieleen.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Valitse sillattu, kun vaatimus on, että langattomat laitteet käyttävät samaa tunnelia kuin kaapeloidut. Valitse reititetty, kun haluat segmentin, joka voidaan eristää, tai kun toinen laatikko on jo olemassa reitittimenä.

Mitä sillattu asetelma oikeasti muuttaa

Sillaus poistaa käännöskerroksen ja kilpailevan oletusyhdyskäytävän ja lisää hallintaongelman. Tukiasema tarvitsee yhä osoitteen, johon pääset, minkä toimittajan työnkulku yleensä järjestää pääverkon kautta. Sen DHCP-palvelun on oltava pois päältä, tai kaksi viranomaista jakaa ristiriitaisia vuokria. Yhdyskäytävä pitää tunnelin, resolverin asetukset ja päätöksen siitä, mitä tapahtuu, kun tunneli putoaa, joten käytäntö asuu täsmälleen yhdessä paikassa.

Radio ei peri tästä mitään automaattisesti tunnelilta. Se vain lakkaa lisäämästä kerroksia, jotka peittäisivät sen.

Mihin toinen reititetty segmentti sopii

Reititetty segmentti ansaitsee monimutkaisuutensa, kun sen takana olevat laitteet tarvitsevat erilaista kohtelua kuin muu lähiverkko. Vierasverkko, laboratorio tai joukko asiakkaita, joiden on aina lähdettävä tietyn maan kautta, ovat kaikki syitä laittaa reititin reitille. Hinta on toinen osoiteviranomainen, toinen palomuuri, jota on pidettävä yhtenäisenä, ja paluureitti pääverkosta, jos jonkun siellä on päästävä segmenttiin. Ne ovat velvoitteita, eivät kokoonpanon yksityiskohtia.

Yleinen virhe on rakentaa reititetty versio vahingossa käyttämällä uudelleen reititintä, joka ajaa yhä omaa DHCP:tä ja käännöstä. Se tuottaa kaksinkertaisen käännöksen ja käytännön, jota kukaan ei voi jäljittää.

Testaa Wi-Fi-asiakkaasta, älä yhdyskäytävästä

Onnistunut pyyntö yhdyskäytävällä todistaa, että tunneli toimii yhdyskäytävälle. Todellinen kysymys on, käyttääkö langattoman asiakkaan välittämä liikenne sitä, ja se on havaittava asiakkaasta. Alla olevat komennot tarkistavat asiakkaan osoitteen, sen reitin ja osoitteen, jonka etäpalvelu näkee.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Osoite yhdyskäytävän lähiverkon sisällä vahvistaa, että silta päästää kehykset läpi sen sijaan että kääntäisi ne. Reitti, jonka ensimmäinen hyppy on yhdyskäytävä, vahvistaa, ettei asiakas ole saanut toista oletusreittiä muualta. Lähtöosoitteen tarkistus vastaa todelliseen kysymykseen, ja lyhyt jäljitys näyttää, ovatko ensimmäiset hypyt odotettuja. Jos asiakkaan osoite tulee eri alueelta, ensimmäinen epäilty on eksynyt DHCP-palvelin.

Kirjoita ylös jokaisen laatikon rooli, sen osoite ja DHCP-viranomainen. Kolmen viivan kaavio riittää, ja se ratkaisee useimmat riidat siitä, mihin sääntö kuuluu.