Wi-Fi-toegangspunt efter in VPN-gateway: hâld ien LAN

Draadleaze kliïnten kinne efter in VPN sitte sûnder dat it toegangspunt eat oer de tunnel wit. Brêgje de radio oer yn it LAN fan 'e gateway, lit de gateway adressaasje en de tunnel ha, en elk apparaat op 'e Wi-Fi erft itselde belied. It alternatyf, in twadde rûteare segmint mei syn eigen gateway, is in oare opbou mei in oare flatermodus.

De twa wurde betiisd om't beide in doaze tusken it ynternet en jo apparaten sette. Ferlykje wat elk hat is de fluchste wize om te kiezen.

Twa manieren om de VPN foar de Wi-Fi te setten

Yn in oerbrêge opbou draacht it toegangspunt frames tusken de radio en it bekabelde segmint en fierder neat: ien subnet, ien adresautoriteit, ien router dy't it belied útfiert. Yn in rûteare opbou hat de twadde doaze eigen adressen, in eigen DHCP-berik en in eigen standertrûte, sadat ferkear noch in grins oerstekt foar't it de tunnel berikt. De oerbrêge opbou lit elk draadleas apparaat lokaal lykje foar de gateway, en dêrom dekt ien set regels se allegear. De rûteare opbou jout jo in segmint om oer nei te tinken en in twadde plak dêr't it belied misgean kin.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Kies oerbrêge as de eask is dat draadleaze apparaten deselde tunnel brûke as bekabelde. Kies rûteare as jo in segmint wolle dat isolearre wurde kin, of as de twadde doaze al as router bestiet.

Wat de oerbrêge opbou eins feroaret

Oerbrêgjen hellet in oersettinglaach en in konkurrearjende standertgateway fuort, en foeget in behearprobleem ta. It toegangspunt hat noch altyd in adres nedich dat jo berikke kinne, wat de leveransierswurkstream meastentiids fia it haad-LAN regelet. Syn DHCP-tsjinst moat út wêze, oars jouwe twa autoriteiten tsjinstridige hierkontrakten. De gateway hâldt de tunnel, de ynstellings fan 'e resolver en it beslút oer wat der bart as de tunnel falt, sadat it belied op presys ien plak wennet.

De radio erft dêr neat fan fan 'e tunnel automatysk. It hâldt gewoan op mei lagen ta te foegjen dy't it ferdústerje soene.

Wêr't in twadde rûteare segmint past

In rûteare segmint fertsjinnet syn kompleksiteit as apparaten dêrefter oars behannele wurde moatte as de rest fan it LAN. In gastnetwurk, in laboratoarium, of in set kliïnten dy't altyd troch in beskaat lân nei bûten moatte, binne allegear redenen om in router yn it paad te setten. De kosten binne in twadde adresautoriteit, in twadde firewall dy't konsekwint holden wurde moat, en in weromrûte fan it haad-LAN as immen dêr it segmint berikke moat. Dat binne ferplichtingen, net konfiguraasjedetails.

De gewoane flater is de rûteare ferzje by ûngelok te bouwen, troch in router wer te brûken dy't noch syn eigen DHCP en oersetting draait. Dat jout dûbele oersetting en in belied dat nimmen neigean kin.

Test fan in Wi-Fi-kliïnt, net fan 'e gateway

In slagge oanfraach op 'e gateway bewiist dat de tunnel foar de gateway wurket. De echte fraach is oft trochstjoerd ferkear fan in draadleaze kliïnt it brûkt, en dat moat fan 'e kliïnt ôf besjoen wurde. De opdrachten hjirûnder kontrolearje it adres fan 'e kliïnt, syn rûte en it adres dat in tsjinst op ôfstân sjocht.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

In adres binnen it LAN fan 'e gateway befêstiget dat de brêge frames trochjout ynstee fan se te oersetten. In rûte wêrfan't de earste hop de gateway is, befêstiget dat de kliïnt gjin twadde standertrûte fan earne oars krigen hat. De kontrôle fan it útgeansadres beantwurdet de echte fraach, en it koarte spoar lit sjen oft de earste hops de ferwachte binne. As it adres fan 'e kliïnt út in oar berik komt, is in ferdwaalde DHCP-tsjinner de earste fertochte.

Skriuw de rol fan elke doaze, syn adres en de DHCP-autoriteit op. In diagram mei trije rigels is genôch, en it besljochtet de measte diskusjes oer wêr't in regel heart.