Thússegmint allinnich VPN: skeakelje de fallback út, net allinnich de SSID
In gast-SSID op de VPN makket it noch gjin allinnich-VPN. Beslis wat der bart as de tunnel falt, dek IPv6, en test de ûnderbrekking foardat jo it label fertrouwe.
Jo sette it gast-SSID op de VPN en neame it segmint allinnich-VPN. Dan falt de tunnel twa minuten en de apparaten komme stil werom nei de gewoane WAN. Neat yn de namme fan de SSID hat dat tsjinkaam. In allinnich-VPN-segmint wurdt definiearre troch wat der bart as de tunnel net beskikber is, net troch it label fan it netwurk.
It label is in belofte; it fallbackbelied is de hanthavening.
Myt: de SSID is de grins
In SSID sûnder eigen trochstjoerbelied is gewoan in namme. De grins is in aparte ynterface, VLAN of subnet, mei eigen DHCP-berik en eigen regels. In VLAN jout jo in trochstjoergrins dy't in Wi-Fi-namme net jaan kin.
Kliïntisolaasje heart ek by it ûntwerp. Twa apparaten op it segmint moatte miskien mei elkoar prate, of miskien net, en dy kar moat eksplisyt wêze ynstee fan erfd út in gastprofyl.
Skriuw de ynterface en it adresberik fan it segmint op foardat jo ien regel skriuwe. Dy iene rigel foarkomt it measte fan de lettere betizing.
Myt: de tunnelrûte dekt elk protokol
Pas it firmwarebelied op dat segmint ta sadat syn ferkear nei it ynternet de tunnel brûkt. Konfigurearje de ôfstâns trochstjoering en oersetting dy't de tunnel freget. Hâld allinnich de tagong ta lokale boarnen dy't it segmint echt nedich hat.
Kontrolearje beide adresfamyljes. As IPv6 net troch de tunnel droegen wurdt, moat it belied dermei omgean, oars sil in apparaat mei IPv6-stipe in direkte rûte fine dy't jo net bedoeld hawwe.
In kill switch allinnich foar IPv4 mei IPv6 ynskeakele is in gewoane manier om te lekken. Test mei in klant mei IPv6-stipe, net allinnich mei de laptop dy't jo by de hân hawwe.
Myt: DNS en it tunneleinstpunt folgje de tunnel
Router-DNS kin lokaal generearre wurde en de eigen routingtabel fan de router folgje, net it belied fan it segmint. Beslis hokker paad dy resolver brûke moat en wat er docht as de tunnel falt. De eigen einpuntferbining fan de VPN is in oare útsûndering: dy hat de dokumintearre bûtenrûte nei de peer nedich. Stjoer dy ferbining de tunnel yn en se kin net omheech komme.
Hâld behear foar werstel apart fan de ynternettagong fan it segmint. As in mislearre peer jo ek bûten de router slút, hawwe jo in tunnelûnderbrekking feroare yn in besite op it plak. Hâld dy tagong op in behearnetwurk, net op it allinnich-VPN-segmint.
Wat makket it echt allinnich-VPN
Blokkearje gewoane WAN-trochstjoering foar it segmint wannear't de tunnel del is. It is dy regel, net de SSID, dy't it label wier makket. Test it mei ûnskealik ferkear fan in apparaat op it segmint.
Doch trije kontrôles: normale wurking troch de tunnel, de tastiene mislearringstest mei de tunnel del, en werstel as er weromkomt. Befêstigje dat in oar húshâldsegmint syn eigen bedoelde rûte hieltyd hâldt. Dokumintearje alle direkte útsûnderingen, oars ferberget it label paden dy't jo net mear betinke.
In koarte registraasje fan it segmint, de keazen tunnel en de útsûnderingen jout jo spesifike kontrôles neidat in firmwarefernijing de regeloarder of it resolvergedrach feroare hat. It pfSense WireGuard-klantresep is in nuttige referinsje foar de tunnelkant, gjin ferfanging foar it segmintbelied.