Segmento doméstico só VPN: corta o camiño de reserva, non só o SSID

Pois o SSID de convidados na VPN e chamas ao segmento só VPN. Logo o túnel cae durante dous minutos e os dispositivos volven en silencio á WAN normal. Nada no nome do SSID impediuno. Un segmento só VPN defínese polo que acontece cando o túnel non está dispoñible, non pola etiqueta da rede.

A etiqueta é unha promesa; a política de reserva é a aplicación.

Mito: o SSID é a fronteira

Un SSID sen a súa propia política de reenvío é só un nome. A fronteira é unha interface, VLAN ou subrede separada, co seu propio ámbito DHCP e as súas propias regras. Unha VLAN dálle unha fronteira de reenvío que un nome Wi-Fi non pode dar.

O illamento de clientes tamén forma parte do deseño. Dous dispositivos do segmento poden necesitar falar entre si, ou non, e esa escolla debería ser explícita en lugar de herdada dun perfil de convidado.

Anota a interface e o rango de enderezos do segmento antes de escribir unha soa regra. Esa liña evita a maior parte da confusión posterior.

Mito: a ruta do túnel cobre todos os protocolos

Aplica a política do firmware a ese segmento para que o seu tráfico cara a Internet use o túnel. Configura o reenvío e a tradución remotos que require o túnel. Conserva só o acceso aos recursos locais que o segmento realmente necesita.

Comproba ambas as familias de enderezos. Se IPv6 non se transporta polo túnel, a política debe xestionalo, ou un dispositivo compatible con IPv6 atopará unha ruta directa que non pretendías.

Un interruptor de emerxencia só para IPv4 con IPv6 activado é unha forma habitual de filtrar datos. Proba cun cliente compatible con IPv6, non só co portátil que teñas á man.

Mito: o DNS e o extremo do túnel seguen o túnel

O DNS do router pode xerarse localmente e seguir a propia táboa de enrutamento do router, non a política do segmento. Decide que camiño debe usar ese resolutor e que fai cando falla o túnel. A propia conexión do extremo da VPN é outra excepción: necesita a ruta exterior documentada cara ao par. Encamiña esa conexión dentro do túnel e non poderá levantarse.

Mantén a administración de recuperación separada do acceso a Internet do segmento. Se un par fallido tamén te deixa fóra do router, convertiste unha caída do túnel nunha visita ao lugar. Mantén ese acceso nunha rede de xestión, non no segmento só VPN.

Que o fai realmente só VPN

Bloquea o reenvío normal cara á WAN para o segmento sempre que o túnel estea caído. É esa regra, non o SSID, a que fai verdadeira a etiqueta. Próbaa con tráfico inofensivo desde un dispositivo do segmento.

Fai tres comprobacións: funcionamento normal a través do túnel, a proba de fallo permitida co túnel caído e a recuperación cando volve. Confirma que outro segmento do fogar mantén a súa ruta prevista en todo momento. Documenta calquera excepción directa, ou a etiqueta ocultará camiños que xa non recordas.

Un rexistro breve do segmento, do túnel elixido e das excepcións dálle comprobacións concretas despois de que unha actualización de firmware cambie a orde das regras ou o comportamento do resolutor. A receita de cliente WireGuard para pfSense é unha referencia útil para o lado do túnel, non un substituto da política do segmento.