Wi-Fi-asiakasisolointi vai VPN:n paikallinen pääsy: mikä sinut estää

Laita kaksi puhelinta samaan vieras-SSID:hen, eikä kumpikaan näe toista, mutta molemmat pääsevät internetiin. Lisää VPN-asiakas toiseen, ja kolmen metrin päässä oleva tulostin pysyy näkymättömänä, kun taas toisella mantereella oleva palvelin vastaa ping-pyyntöihin. Tunnelissa ei ole mitään rikki; mukana on kaksi erillistä pääsypäätöstä, ja vain toinen niistä koskee reititystä. Tukiasema päättää, saavatko langattomat asiakkaat puhua keskenään, ja VPN-asiakas päättää, mitkä kohteet lähtevät tunnelin kautta. Näiden kahden sekoittaminen tuottaa tunteja hyödyttömiä kokoonpanomuutoksia.

Kaksi porttia ovat toisistaan riippumattomia

Asiakasisolointi on kytkentäpäätös. Tukiasema ottaa vastaan kehyksen yhdeltä liitetyltä asemalta, katsoo kohdetta, huomaa, että kohde on toinen asema samassa sillassa, ja pudottaa kehyksen. Aseman IP-osoite ei vaikuta tähän päätökseen, eikä VPN:kään.

Reititys on toinen päätös, joka tehdään asiakkaassa. VPN:n reititystaulu päättää, meneekö osoitteelle 192.168.1.50 tarkoitettu paketti tunneliin vai lähteekö se Wi-Fi-rajapinnan kautta. Jos paketti lähtee Wi-Fi:n kautta ja tukiasema isoloi asiakkaat, se kuolee tukiasemalla. Jos paketti menee tunneliin, tukiasema ei koskaan näe alkuperäistä kohdetta eikä voi isoloida mitään.

Mitä isolointi estää tyypillisellä tukiasemalla

Valmistajat toimittavat tämän usealla nimellä: asiakasisolointi, AP-isolointi, asemaisolointi tai vierasverkko, joka sisältää sen. OpenWrt:ssä rajapintakohtainen asetus on isolate langattoman kokoonpanon sisällä, kuten langattoman verkon dokumentaatio kuvaa, ja vieras-SSID saa yleensä oman siltansa ja palomuurivyöhykkeensä. Vaikutus on, että asiakkaiden väliset unicast-kehykset eivät ylity sillan kautta, joten ping, SMB-yhteys tai tulostustyö naapurille epäonnistuu, vaikka molemmat laitteet näyttävät täyden signaalin.

Hakukäytännöt kärsivät ensin ja näkyvimmin. Tulostimien ja medilaitteiden mDNS kulkee multicastina osoitteeseen 224.0.0.251, SSDP käyttää osoitetta 239.255.255.250, ja se, ylittävätkö nämä kehykset sillan, riippuu valmistajasta ja siitä, onko multicast–unicast-muunnos käytössä. Listalta puuttuva laite on heikompi todiste kuin epäonnistunut suora yhteys tunnettuun osoitteeseen.

Mitä VPN muuttaa ja mitä se ei voi muuttaa

Täystunneli ottaa oletusreitin, joten paikallisiin aliverkkoihin päästään vain, jos asiakas pitää niille tarkemman reitin. Jaetut tunnelit tekevät päinvastoin ja säilyttävät paikallisen pääsyn suunnittelun mukaan. Kumpikaan asetus ei voi pakottaa isoloivaa tukiasemaa välittämään kehystä kahden asiakkaansa välillä, siksi paikallisen liikenteen salliminen VPN-asiakkaassa on välttämätöntä mutta ei riittävää.

Päinvastainen tapaus on yhtä yleinen. Tukiasema sallii vertaisliikenteen, VPN-asiakas jättää paikallisen aliverkon tunnelin ulkopuolelle, eikä tulostin silti vastaa, koska isäntäkoneen palomuuri pitää Wi-Fi-verkkoa julkisena. Kolme kerrosta, kolme erilaista oletusta, ja useimmissa VPN-lokeissa näkyy vain reitti.

Selvitä, kumpi portti on kiinni

Aloita testillä, joka poistaa VPN:n kuvasta: yhdistä kaksi tavallista laitetta samaan SSID:hen ja yritä tavoittaa toinen toisesta osoitteen avulla. Jos se epäonnistuu, tukiasema isoloi eikä mikään VPN-asetus korjaa sitä. Jos se onnistuu, siirry asiakkaaseen ja suorita ip route get 192.168.1.50 Linuxissa tai Find-NetRoute -RemoteIPAddress 192.168.1.50 Windowsissa; tuloste nimeää rajapinnan, jota paketti käyttää.

Kun reitti osoittaa Wi-Fi-rajapintaan, paketti lähtee salaamattomana, ja kysymykseksi tulee, sallivatko tukiasema ja isäntäkoneen palomuuri sen. Kun reitti osoittaa tunneliin, kohde lähetetään VPN-palvelimelle, mikä on väärin samassa lähiverkossa olevalle laitteelle ja tarkoittaa yleensä sitä, että tunnelin sallittujen lista on liian laaja.

Suora yhteys tulostimen porttiin on parempi testi kuin hakuluettelo. nc -vz 192.168.1.50 9100 Linuxissa tai Test-NetConnection 192.168.1.50 -Port 9100 PowerShellissä kertoo, onko osoite ylipäätään tavoitettavissa, ennen kuin mikään sovellustason pariliitos tulee keskusteluun.

Valitse korjaus sen verkon mukaan, jossa olet

Hotelli- tai vierasverkossa isolointi on tarkoituksellista, eikä sinun pitäisi yrittää kiertää sitä. Kohtele paikallista laitetta tavoittamattomana, käytä VPN:ää päästäksesi isäntään, joka voi tulostaa tai jakaa, ja lopeta SSID:n kohteleminen lähiverkkona.

Kotona isoinnin poistaminen käytöstä pää-SSID:stä on järkevää, kun laitteet ovat omiasi, kun taas vieras-SSID pysyy isoloituna. Asetus asuu tukiaseman langattomassa kokoonpanossa, ja se kuuluu sinne, ei jokaisen asiakkaan palomuuripoikkeuksiin.

Toimistossa oleta, että tukiasema, VLAN ja isäntäkoneen palomuuri ovat kaikki tarkoituksellisia. Eskaloi testitulosten kanssa sen sijaan, että pyytäisit isoinnin poistamista, koska asiakkaita erottava verkko yleensä suojaa jotain.

Varmenna sovellus, älä vain pingiä

Onnistunut ping todistaa reitin, ei palvelua. Tulostimet hyväksyvät usein raa'an 9100:n tai IPP:n portissa 631 mutta hylkäävät haun, ja tiedostojako tarvitsee 445:n sekä toimivan nimien ratkaisun. Vahvista portti, jota sovellus käyttää, ja yritä sitten varsinaista tehtävää laitteella uudelleen.

Pidä kaksi kerrosta erillään muistiinpanoissasi: mitä Wi-Fi-verkko sallii ja mitä VPN reitittää. Kun seuraavan kerran laite katoaa listalta, tämä jako kertoo, mistä katsoa ensin.