Wi-Fi-kliïntisolearring tsjin lokale VPN-toegong: wat blokkearret dy

Set twa tillefoans op deselde gast-SSID en gjinien sjocht de oare, dochs helje beide it ynternet. Foegje in VPN-kliïnt ta op ien fan beide en de printer trije meter fierder bliuwt ûnsichtber, wylst in tsjinner op in oar kontinint op pings antwurdet. Der is neat stikken yn 'e tunnel; der binne twa aparte tagongsbesluten yn it spul, en mar ien dêrfan giet oer rûtelearring. It tagongspunt beslút oft draadleaze kliïnten mei elkoar prate meie, en de VPN-kliïnt beslút hokker bestimmingen troch de tunnel ferlitte. Om dy twa te betiizjen jout oeren sinleaze konfiguraasjewizigingen.

De twa poarten binne ûnôfhinklik

Kliïntisolearring is in skiftingsbeslút. It tagongspunt akseptearret in frame fan ien assosjearre stasjon, sjocht nei de bestimming, merkt dat de bestimming in oar stasjon op deselde brêge is, en smyt it fuort. It IP-adres fan it stasjon is foar dat beslút net fan belang, en de VPN ek net.

Rûtelearring is in oar beslút dat op 'e kliïnt nommen wurdt. De rûtetabel fan 'e VPN beslút oft in pakket foar 192.168.1.50 de tunnel yngiet of troch de Wi-Fi-ynterface ferlit. As it pakket troch Wi-Fi ferlit en it tagongspunt isolearret kliïnten, stjert it by it tagongspunt. As it pakket de tunnel yngiet, sjocht it tagongspunt de orizjinele bestimming nea en kin it neat isolearje.

Wat isolearring blokkearret op in typysk tagongspunt

Fabrikanten leverje dit ûnder ferskate nammen: kliïntisolearring, AP-isolearring, stasjonsisolearring, of in gastnetwurk dat it implisearret. Yn OpenWrt is de opsje per ynterface isolate binnen de draadleaze konfiguraasje, sa't beskreaun yn 'e draadleaze dokumintaasje, en in gast-SSID krijt meastentiids syn eigen brêge en firewall-sône. It effekt is dat unicast-frames tusken kliïnten net oerbrêge wurde, sadat in ping, in SMB-ferbining of in printsje nei in buorman mislearret, ek al litte beide apparaten folslein sinjaal sjen.

Untdekkingsprotokollen lije it earst en it meast sichtber. mDNS foar printers en media-apparaten giet mei multicast nei 224.0.0.251, SSDP brûkt 239.255.255.250, en oft dy frames de brêge oerstekke hinget fan 'e fabrikant ôf en fan oft multicast-nei-unicast-omsetting ynskeakele is. In apparaat dat yn in list mist is swakker bewiis as in mislearre direkte ferbining nei in bekend adres.

Wat de VPN feroaret, en wat it net feroarje kin

In folsleine tunnel nimt de standertrûte, dus lokale subnetten wurde allinnich berikt as de kliïnt dêrfoar in mear spesifike rûte hâldt. Splitstunnels dogge it tsjinoerstelde en behâlde lokale tagong by ûntwerp. Gjin fan beide ynstellings kin in isolearjend tagongspunt twinge in frame tusken twa fan syn kliïnten troch te stjoeren, dêrom is it tastean fan lokaal ferkear yn 'e VPN-kliïnt needsaaklik mar net genôch.

It omkearde gefal is like gewoan. It tagongspunt lit peerferkear ta, de VPN-kliïnt slút it lokale subnet fan 'e tunnel út, en de printer antwurdet noch altyd net omdat de host-firewall it Wi-Fi-netwurk as iepenbier behannelet. Trije lagen, trije ferskate standerten, en allinnich de rûte is yn 'e measte VPN-logs sichtber.

Sykje út hokker poarte ticht is

Begjin mei in test dy't de VPN út it byld hellet: ferbyn twa gewoane apparaten oan deselde SSID en besykje it iene fan it oare ôf by adres te berikken. As dat mislearret, isolearret it tagongspunt en gjin inkelde VPN-ynstelling sil dat reparearje. As it slagget, gean nei de kliïnt en rin ip route get 192.168.1.50 op Linux of Find-NetRoute -RemoteIPAddress 192.168.1.50 op Windows; de útfier neamt de ynterface dy't it pakket brûke sil.

As de rûte nei de Wi-Fi-ynterface wiist, ferlit it pakket ûnfersifere en wurdt de fraach oft it tagongspunt en de host-firewall dat tastean. As de rûte nei de tunnel wiist, wurdt de bestimming nei de VPN-tsjinner stjoerd, wat ferkeard is foar in apparaat op itselde LAN en meastentiids betsjut dat de tastiene list fan 'e tunnel te breed is.

In direkte ferbining nei de poarte fan 'e printer is in bettere test as in ûntdekkingslist. nc -vz 192.168.1.50 9100 op Linux of Test-NetConnection 192.168.1.50 -Port 9100 yn PowerShell fertelt dy oft it adres hielendal berikber is, foardat hokker applikaasjenivo-keppeling dan ek yn 'e diskusje komt.

Kies de oplossing foar it netwurk dêr'tst yn bist

Op in hotel- of gastnetwurk is isolearring doelbewust en do most net besykje it te oerwinnen. Behannelje it lokale apparaat as ûnberikber, brûk de VPN om in host te berikken dy't printsje of diele kin, en hâld op mei de SSID as LAN te behanneljen.

Thús is it útskeakeljen fan isolearring op 'e haad-SSID ridlik as de apparaten dyn binne, wylst de gast-SSID isolearre bliuwt. De ynstelling wennet yn 'e draadleaze konfiguraasje fan it tagongspunt, en dêr heart er, net yn firewall-útsûnderingen op elke kliïnt.

Op kantoar moatst oannimme dat it tagongspunt, de VLAN en de host-firewall allegear doelbewust binne. Eskaleerje mei de testresultaten ynstee fan te freegjen om isolearring út te skeakeljen, want in netwurk dat kliïnten skiedt beskermet meastentiids wat.

Ferifiearje de applikaasje, net allinnich de ping

In slagge ping bewiist it paad, net de tsjinst. Printers akseptearje faak rau 9100 of IPP op 631 mar wegerje ûntdekking, en in bestânsdieling hat 445 nedich plus wurkjende nameresolúsje. Befêstigje de poarte dy't de applikaasje brûkt, en besykje dan de echte taak op it apparaat op 'e nij.

Hâld de twa lagen apart yn dyn notysjes: wat it Wi-Fi-netwurk tastiet, en wat de VPN rûtelet. De folgjende kear dat in apparaat út in list ferdwynt, fertelt dy skieding wêr'tst it earst sykje moatst.