Point d’accès Wi-Fi derrière une passerelle VPN : gardez un seul réseau local

Point d’accès ponté ou second segment routé ? La différence tient à qui possède l’adressage, le DNS et le tunnel, et c’est ce qui décide où vit la politique.

Les clients sans fil peuvent se trouver derrière un VPN sans que le point d’accès sache quoi que ce soit du tunnel. Pontez la radio sur le réseau local de la passerelle, laissez la passerelle posséder l’adressage et le tunnel, et chaque appareil du Wi-Fi hérite de la même politique. L’alternative, un second segment routé avec sa propre passerelle, est une conception différente avec un mode de défaillance différent.

Les deux se confondent parce que tous deux placent une boîte entre Internet et vos appareils. Comparer ce que chacun possède est le moyen le plus rapide de choisir.

Deux façons de placer le VPN devant le Wi-Fi

Dans une disposition pontée, le point d’accès transporte des trames entre la radio et le segment filaire et rien d’autre : un sous-réseau, une autorité d’adressage, un routeur qui applique la politique. Dans une disposition routée, la seconde boîte a ses propres adresses, sa propre plage DHCP et sa propre route par défaut, si bien que le trafic franchit une frontière de plus avant d’atteindre le tunnel. La conception pontée fait paraître chaque appareil sans fil local pour la passerelle, et c’est pourquoi un seul jeu de règles les couvre tous. La conception routée vous donne un segment à raisonner et un second endroit où la politique peut mal tourner.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Choisissez le ponté lorsque l’exigence est que les appareils sans fil utilisent le même tunnel que les appareils filaires. Choisissez le routé lorsque vous voulez un segment isolable, ou lorsque la seconde boîte existe déjà comme routeur.

Ce que la disposition pontée change réellement

Le pontage supprime une couche de traduction et une passerelle par défaut concurrente, et ajoute un problème d’administration. Le point d’accès a toujours besoin d’une adresse que vous pouvez joindre, ce que le flux du fournisseur arrange généralement via le réseau local principal. Son service DHCP doit être désactivé, sinon deux autorités distribueront des baux contradictoires. La passerelle conserve le tunnel, les réglages du résolveur et la décision sur ce qui se passe quand le tunnel tombe, si bien que la politique vit à exactement un endroit.

La radio n’hérite de rien de tout cela automatiquement du tunnel. Elle cesse simplement d’ajouter des couches qui l’obscurciraient.

Où s’inscrit un second segment routé

Un segment routé mérite sa complexité lorsque les appareils derrière lui demandent un traitement différent du reste du réseau local. Un réseau invité, un laboratoire ou un ensemble de clients qui doivent toujours sortir par un pays donné sont autant de raisons de placer un routeur sur le chemin. Le coût est une seconde autorité d’adressage, un second pare-feu à maintenir cohérent et une route de retour depuis le réseau local principal si quelqu’un là-bas doit atteindre le segment. Ce sont des obligations, pas des détails de configuration.

L’erreur courante est de construire la version routée par accident, en réutilisant un routeur qui exécute encore son propre DHCP et sa traduction. Cela produit une double traduction et une politique que personne ne peut retracer.

Testez depuis un client Wi-Fi, pas depuis la passerelle

Une requête réussie sur la passerelle prouve que le tunnel fonctionne pour la passerelle. La vraie question est de savoir si le trafic transmis d’un client sans fil l’utilise, et cela doit être observé depuis le client. Les commandes ci-dessous vérifient l’adresse du client, sa route et l’adresse que voit un service distant.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Une adresse à l’intérieur du réseau local de la passerelle confirme que le pont fait passer des trames au lieu de les traduire. Une route dont le premier saut est la passerelle confirme que le client n’a pas acquis une seconde route par défaut ailleurs. La vérification de l’adresse de sortie répond à la vraie question, et la trace courte montre si les premiers sauts sont ceux attendus. Si l’adresse du client vient d’une autre plage, un serveur DHCP égaré est le premier suspect.

Notez le rôle de chaque boîte, son adresse et l’autorité DHCP. Un schéma à trois lignes suffit, et il tranche la plupart des discussions sur l’endroit où une règle appartient.

Articles similaires