Punto de acceso Wi-Fi detrás dunha porta de enlace VPN: mantén unha soa LAN

Punto de acceso ponteado ou segundo segmento encamiñado? A diferenza está en quen posúe o enderezo, o DNS e o túnel, e iso decide onde vive a política.

Os clientes sen fíos poden estar detrás dunha VPN sen que o punto de acceso saiba nada do túnel. Pontea a radio cara á LAN da porta de enlace, deixa que a porta de enlace posúa o enderezo e o túnel, e cada dispositivo da Wi-Fi herda a mesma política. A alternativa, un segundo segmento encamiñado coa súa propia porta de enlace, é un deseño distinto cun modo de fallo distinto.

Os dous confúndense porque ambos poñen unha caixa entre internet e os teus dispositivos. Comparar o que posúe cada un é a forma máis rápida de escoller.

Dúas formas de poñer a VPN diante da Wi-Fi

Nun deseño ponteado o punto de acceso transporta tramas entre a radio e o segmento cableado e nada máis: unha subrede, unha autoridade de enderezos, un encamiñador que aplica a política. Nun deseño encamiñado a segunda caixa ten os seus propios enderezos, o seu propio ámbito DHCP e a súa propia ruta predeterminada, así que o tráfico cruza outra fronteira antes de chegar ao túnel. O deseño ponteado fai que cada dispositivo sen fíos pareza local para a porta de enlace, e por iso un único conxunto de regras os cobre todos. O deseño encamiñado dálle un segmento sobre o que razoar e un segundo lugar onde a política pode saír mal.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Escolle o ponteado cando o requisito sexa que os dispositivos sen fíos usen o mesmo túnel que os cableados. Escolle o encamiñado cando queiras un segmento que se poida illar, ou cando a segunda caixa xa exista como encamiñador.

Que cambia realmente o deseño ponteado

A ponte elimina unha capa de tradución e unha porta de enlace predeterminada que compite, e engade un problema de xestión. O punto de acceso segue necesitando un enderezo ao que poidas chegar, o que o fluxo do fabricante adoita arranxar mediante a LAN principal. O seu servizo DHCP debe estar apagado, ou dúas autoridades repartirán concesións en conflito. A porta de enlace conserva o túnel, os axustes do resolvedor e a decisión sobre que ocorre cando o túnel cae, así que a política vive exactamente nun lugar.

A radio non herda nada diso automaticamente do túnel. Só deixa de engadir capas que o ocultarían.

Onde encaixa un segundo segmento encamiñado

Un segmento encamiñado gaña a súa complexidade cando os dispositivos que están detrás necesitan un trato distinto do resto da LAN. Unha rede de convidados, un laboratorio ou un conxunto de clientes que sempre deben saír por un país concreto son todos motivos para poñer un encamiñador no camiño. O custo é unha segunda autoridade de enderezos, un segundo cortalumes que manter coherente e unha ruta de retorno desde a LAN principal se alguén de alí necesita chegar ao segmento. Son obrigas, non detalles de configuración.

O erro habitual é construír a versión encamiñada por accidente, reutilizando un encamiñador que aínda executa o seu propio DHCP e a súa tradución. Iso produce tradución dobre e unha política que ninguén pode rastrear.

Proba desde un cliente Wi-Fi, non desde a porta de enlace

Unha solicitude correcta na porta de enlace demostra que o túnel funciona para a porta de enlace. A verdadeira pregunta é se o tráfico reenviado dun cliente sen fíos o usa, e iso hai que observalo desde o cliente. Os comandos de abaixo comproban o enderezo do cliente, a súa ruta e o enderezo que ve un servizo remoto.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Un enderezo dentro da LAN da porta de enlace confirma que a ponte deixa pasar tramas en lugar de traducilas. Unha ruta cuxo primeiro salto é a porta de enlace confirma que o cliente non adquiriu unha segunda ruta predeterminada desde outro sitio. A comprobación do enderezo de saída responde á pregunta real, e o trazado curto mostra se os primeiros saltos son os esperados. Se o enderezo do cliente vén dun ámbito distinto, o primeiro sospeitoso é un servidor DHCP extraviado.

Anota o papel de cada caixa, o seu enderezo e a autoridade DHCP. Un diagrama de tres liñas abonda, e resolve a maioría das discusións sobre onde pertence unha regra.

Artigos relacionados