Gasten-Wi-Fi brûkt noch altyd de haadrûte: jou it syn eigen útgong

Jo hawwe in gastnetwurk makke, der in rûte foar tafoege, en de gasten geane noch altyd fia jo normale ynternetferbining nei bûten. De tunnel is omheech, it haad-LAN wurket, en de gastapparaten melde in adres yn it berik dat jo tawiisd hawwe, dus neat liket stikken. Wat meastentiids ûntbrekt is net in rûte mar in selektor: de router beslút it paad foardat er besjocht fia hokker ynterface it pakket oankaam, en útsein as eat eksplisyt oerienkomt mei it gastferkear, erft dat ferkear de standert. De oplossing is in segmint, in beliedsregel en in antwurdpaad, yn dy folchoarder.

It symptoom: gasten geane noch altyd fia de WAN nei bûten

De oanwizing is it útgongsadres. In gastapparaat dat fia de tunnel it ynternet berikt, meldt it adres fan de tunnelprovider, en ien dat de standert erfd hat, meldt jo normale ferbining. Fergelykje in gastapparaat en in haad-LAN-apparaat neist elkoar, want it nijsgjirrige gefal is wannear't se ferskille fan wat jo konfigurearre hawwe en mei elkoar oerienkomme.

De twadde oanwizing is it ûntbrekken fan ferkear op de tunnelinterface wylst gasten browze. As de tellers net bewege, is it belied nea tapast, en it oanpassen fan de tunnel sels kin net helpe.

Stap 1: in echt segmint, net allinnich in namme

In SSID-namme skept gjin isolaasje. Kontrolearje dat it gastnetwurk op syn eigen ynterface, VLAN of brêge einiget, en dat it adresberik ferskilt fan it fertroude LAN. Op in soad konsuminte-tagongspunten wurdt de gast-SSID yn itselde segmint as al it oare brêge, wat de rest fan dit wurk ûnmooglik makket oant dat ferbettere is.

Befêstigje dan it gastberik en syn DHCP-tsjinner, en hâld de resolverynstellingen ferbûn mei dat segmint ynstee fan mei de hiele router. In gastsubnet dat allinnich as kommentaar yn in firewallregel bestiet, is gjin segmint, en de router sil gjin ynterface hawwe om mei oerien te kommen.

Bregje gasten net yn it haad-LAN om de VPN makliker te konfigurearjen. Dat ruilet de isolaasje dy't jo woene foar in routing-shortcut, en it is de gewoane reden dat in gastnetwurk úteinlik tagong krijt ta de printer en de NAS.

Stap 2: selektearje de tunnel op boarne

Routingtabellen wurde keazen op bestimming, dus in regel dy't seit «stjoer 0.0.0.0/0 nei de tunnel» jildt foar elkenien. Beliedsrouting foegt in twadde diminsje ta: selektearje de tabel op boarneadres. Op in Linux-basearre router is dat in ekstra regel plus in tawijde tabel, en de folchoarder is wichtich om't de earste oerienkommende regel wint:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Dat lêste kommando beantwurdet de fraach direkt: hokker ynterface sil dizze boarne foar dizze bestimming brûke. Rinn it foar en nei de wiziging en jo witte oft it belied wurke hat sûnder in browser oan te reitsjen.

De measte routerfirmware drukt itselde út as in ynterfaceregel of in boarne-basearre gatewayseleksje. Hokker syntaks jo platfoarm ek brûkt, it prinsipe is itselde: kom oerien mei de ynkommende ynterface of it boarne-prefiks, en oerskriuw dan de rûte allinnich foar dy oerienkomst. In regel dy't op bestimming oerienkomt, kin in gast net fan in hûsapparaat ûnderskiede.

Stap 3: it antwurdpaad en de oersetting

In pakket dat fia de tunnel nei bûten giet, moat weromkomme. Of de tunnelpartner ken in rûte werom nei it gastprefiks, of de router oerset de gastboarne yn it tunneladres. Kies ien en skriuw it op, want de flatermodi sjogge der oars út: in ûntbrekkende weromrûte jout in ferbining dy't ta stân komt en nea antwurdet, wylst in ûntbrekkende oersetting faak hielendal neat opleveret.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

As jo de oersetting kieze, betink dan dat de partner no ien adres foar elke gast sjocht, dus elk belied per klant oan 'e farre ein ferdwynt. As jo de adressen behâlde, hawwe beide einen it gastprefiks nedich yn har routing en belied, wat mear wurk is en better te foarsizzen.

IPv6 hat syn eigen regel nedich. In belied skreaun foar IPv4 dekt de oare famylje net, en in gastapparaat mei wurkjende IPv6 sil it graach brûke wylst jo soarchfâldich rûtearre IPv4-paad stil leit. Rûtearje beide famyljes of skeakelje IPv6 út op it gastsegmint, mar nim net oan dat de kombinearre regel dy't jo skreaun hawwe dekt wat it apparaat echt docht. Test mei in klant dy't beide famyljes ynskeakele hat, want dat is it gefal dat it ûntwerp oerlibje moat. In laptop dy't IPv6 foarkomt, liket goed yn in allinnich-IPv4-test en lekket yn 'e echte.

Test isolaasje, net allinnich browzen

Browzen bewiist dat de útgong feroare is. It bewiist net dat it segmint isolearre is, en isolaasje is de reden dat it gastnetwurk bestiet. Probearje fan in gastapparaat de behearinterface fan de router, in host fan it fertroude LAN en in tsjinst dy't wegere wurde moat te berikken; alle trije moatte misse, en it mislukken moat in beliedsbeslút wêze ynstee fan in timeout dy't nimmen ferklearje kin.

Test dan in haad-LAN-apparaat en befêstigje dat syn útgong net feroare is. Dat is de regression dy't dit ûntwerp it meast feroarsaket: in brede regel bedoeld foar gasten, tapast op elke ynterface om't de oerienkomst op bestimming skreaun waard.

Beslút úteinlik wat der bart as de tunnel del is. Gasten krije of gjin ynternet of falle werom op in paad dat jo goedkrije, en dat ûnbesletten litte betsjut in stille weromfal nei de normale ferbining, wat krekt de lek is dy't it gastbelied foarkomme moast. It resep foar it rûtearjen fan ynternetferkear rint troch deselde paadseleksje foar in pfSense-basearre router.

DNS fan 'e router sels is it gefal dat minsken op it lêst ferrast. As gasten de router as har resolver brûke, folgje de eigen queries fan de router de rûte fan de router ynstee fan de gastregel, dus opsochten kinne fia de normale ferbining nei bûten gean wylst it applikaasjeforkear dat net docht. Hâld it segmint, de resolver en it flaterbelied yn ien notysje, en de folgjende persoan kin alle trije kontrolearje sûnder it ûntwerp opnij ôf te lieden.