ગેસ્ટ Wi-Fi મુખ્ય રૂટનો ઉપયોગ ચાલુ રાખે છે: તેને પોતાનો બહાર જવાનો રસ્તો આપો

તમે ગેસ્ટ નેટવર્ક બનાવ્યું, તેના માટે રૂટ ઉમેર્યો, અને મહેમાનો હજુ પણ તમારા સામાન્ય ઇન્ટરનેટ કનેક્શન દ્વારા બહાર જાય છે. ટનલ ચાલુ છે, મુખ્ય LAN કામ કરે છે, અને ગેસ્ટ ઉપકરણો તમે ફાળવેલી શ્રેણીમાં સરનામું જણાવે છે, તેથી કંઈ તૂટેલું દેખાતું નથી. સામાન્ય રીતે ખૂટતું રૂટ નહીં પણ પસંદગીકાર હોય છે: રાઉટર પેકેટ કઈ ઇન્ટરફેસ પર આવ્યું તે ધ્યાનમાં લે તે પહેલાં માર્ગ નક્કી કરે છે, અને જ્યાં સુધી કંઈ સ્પષ્ટ રીતે ગેસ્ટ ટ્રાફિક સાથે મેળ ખાય નહીં, તે ટ્રાફિક ડિફોલ્ટ વારસો મેળવે છે. ઉપાય એક સેગમેન્ટ, એક નીતિ નિયમ અને એક જવાબ માર્ગ છે, તે ક્રમમાં.

લક્ષણ: મહેમાનો હજુ પણ WAN દ્વારા બહાર જાય છે

સંકેત બહાર જવાનું સરનામું છે. ટનલ દ્વારા ઇન્ટરનેટ સુધી પહોંચતું ગેસ્ટ ઉપકરણ ટનલ પ્રદાતાનું સરનામું જણાવશે, અને ડિફોલ્ટ વારસો મેળવેલું ઉપકરણ તમારા સામાન્ય કનેક્શનનું જણાવશે. ગેસ્ટ ઉપકરણ અને મુખ્ય LAN ઉપકરણની બાજુમાં બાજુ સરખામણી કરો, કારણ કે રસપ્રદ કિસ્સો ત્યારે છે જ્યારે તેઓ તમે ગોઠવેલા કરતાં અલગ હોય અને એકબીજા સાથે મેળ ખાય.

બીજો સંકેત એ છે કે મહેમાનો બ્રાઉઝ કરતી વખતે ટનલ ઇન્ટરફેસ પર કોઈ ટ્રાફિક નથી. જો કાઉન્ટરો ખસતા નથી, તો નીતિ ક્યારેય લાગુ થઈ નથી, અને ટનલને જ સમાયોજિત કરવાથી મદદ મળી શકતી નથી.

પગલું 1: વાસ્તવિક સેગમેન્ટ, ફક્ત નામ નહીં

SSID નામ અલગતા બનાવતું નથી. તપાસો કે ગેસ્ટ નેટવર્ક તેની પોતાની ઇન્ટરફેસ, VLAN અથવા બ્રિજ પર સમાપ્ત થાય છે, અને સરનામા શ્રેણી વિશ્વસનીય LAN કરતાં અલગ છે. ઘણા ગ્રાહક એક્સેસ પોઇન્ટ્સ પર, ગેસ્ટ SSID ને બાકીની બધી વસ્તુઓ સાથે એક જ સેગમેન્ટમાં બ્રિજ કરવામાં આવે છે, જે તે સુધારાય નહીં ત્યાં સુધી આ કામનો બાકીનો ભાગ અશક્ય બનાવે છે.

પછી ગેસ્ટ શ્રેણી અને તેના DHCP સર્વરની પુષ્ટિ કરો, અને રિઝોલ્વર સેટિંગ્સ તે સેગમેન્ટ સાથે સંકળાયેલા રાખો, આખા રાઉટર સાથે નહીં. ફાયરવોલ નિયમમાં ફક્ત ટિપ્પણી તરીકે અસ્તિત્વ ધરાવતું ગેસ્ટ સબનેટ સેગમેન્ટ નથી, અને રાઉટર પાસે મેળ ખાવા માટે કોઈ ઇન્ટરફેસ હશે નહીં.

VPN ગોઠવવું સરળ બનાવવા માટે મહેમાનોને મુખ્ય LANમાં બ્રિજ કરશો નહીં. તે તમે ઇચ્છતા અલગતાને રૂટિંગ શોર્ટકટ સાથે બદલે છે, અને તે એ જ સામાન્ય કારણ છે કે ગેસ્ટ નેટવર્ક પ્રિન્ટર અને NAS સુધી પહોંચી જાય છે.

પગલું 2: સ્રોત દ્વારા ટનલ પસંદ કરો

રૂટિંગ કોષ્ટકો ગંતવ્ય દ્વારા પસંદ થાય છે, તેથી «0.0.0.0/0 ટનલ પર મોકલો» કહેતો નિયમ દરેકને લાગુ પડે છે. નીતિ રૂટિંગ બીજું પરિમાણ ઉમેરે છે: સ્રોત સરનામા દ્વારા કોષ્ટક પસંદ કરો. Linux-આધારિત રાઉટર પર, તે વધારાનો નિયમ અને એક સમર્પિત કોષ્ટક છે, અને ક્રમ મહત્વપૂર્ણ છે કારણ કે પ્રથમ મેળ ખાતો નિયમ જીતે છે:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

તે છેલ્લો આદેશ પ્રશ્નનો સીધો જવાબ આપે છે: આ સ્રોત આ ગંતવ્ય માટે કઈ ઇન્ટરફેસ વાપરશે. તેને ફેરફાર પહેલાં અને પછી ચલાવો અને બ્રાઉઝરને સ્પર્શ કર્યા વિના તમે જાણી શકશો કે નીતિ અમલમાં આવી છે કે નહીં.

મોટાભાગના રાઉટર ફર્મવેર તે જ વાતને ઇન્ટરફેસ નિયમ અથવા સ્રોત-આધારિત ગેટવે પસંદગી તરીકે વ્યક્ત કરે છે. તમારું પ્લેટફોર્મ ગમે તે સિન્ટેક્સ વાપરે, સિદ્ધાંત સમાન છે: ઇનપુટ ઇન્ટરફેસ અથવા સ્રોત પ્રીફિક્સ સાથે મેળ કરો, પછી ફક્ત તે મેળ માટે રૂટને ઓવરરાઇડ કરો. ગંતવ્ય દ્વારા મેળ ખાતો નિયમ મહેમાનને ઘરના ઉપકરણથી અલગ પાડી શકતો નથી.

પગલું 3: જવાબ માર્ગ અને અનુવાદ

ટનલ દ્વારા બહાર જતા પેકેટે પાછું આવવું પડે. કાં તો ટનલ સાથી ગેસ્ટ પ્રીફિક્સ સુધીનો પાછળનો રસ્તો જાણે છે, અથવા રાઉટર ગેસ્ટ સ્રોતને ટનલ સરનામામાં અનુવાદિત કરે છે. એક પસંદ કરો અને લખો, કારણ કે નિષ્ફળતાના પ્રકારો અલગ દેખાય છે: ખૂટતો પરત માર્ગ એવું કનેક્શન આપે છે જે સ્થપાય છે અને ક્યારેય જવાબ આપતું નથી, જ્યારે ખૂટતો અનુવાદ ઘણી વાર કંઈ જ ઉત્પન્ન કરતો નથી.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

જો તમે અનુવાદ પસંદ કરો, તો યાદ રાખો કે સાથી હવે દરેક મહેમાન માટે એક સરનામું જુએ છે, તેથી દૂરના છેડે દરેક ક્લાયંટ માટેની કોઈપણ નીતિ જતી રહે છે. જો તમે સરનામાં જાળવી રાખો, તો બંને છેડાને તેમના રૂટિંગ અને નીતિમાં ગેસ્ટ પ્રીફિક્સની જરૂર છે, જે વધુ કામ છે અને વધુ અનુમાનિત છે.

IPv6 ને તેનો પોતાનો નિયમ જોઈએ. IPv4 માટે લખાયેલી નીતિ બીજા કુટુંબને આવરી લેતી નથી, અને કાર્યરત IPv6 ધરાવતું ગેસ્ટ ઉપકરણ તેનો આનંદથી ઉપયોગ કરશે જ્યારે તમારો કાળજીપૂર્વક રૂટ કરેલો IPv4 માર્ગ નિષ્ક્રિય પડ્યો રહેશે. બંને કુટુંબોને રૂટ કરો અથવા ગેસ્ટ સેગમેન્ટ પર IPv6 અક્ષમ કરો, પરંતુ એવું ન ધારો કે તમે લખેલો સંયુક્ત નિયમ ઉપકરણ ખરેખર જે કરે છે તેને આવરી લે છે. એવા ક્લાયંટ સાથે પરીક્ષણ કરો જેમાં બંને કુટુંબો સક્ષમ છે, કારણ કે તે જ કિસ્સો છે જેમાં ડિઝાઇન ટકી રહેવી જોઈએ. IPv6 પસંદ કરતો લેપટોપ ફક્ત IPv4 પરીક્ષણમાં સાચો દેખાય છે અને વાસ્તવિકમાં લીક થાય છે.

અલગતાનું પરીક્ષણ કરો, ફક્ત બ્રાઉઝિંગનું નહીં

બ્રાઉઝિંગ સાબિત કરે છે કે આઉટલેટ બદલાયું છે. તે સાબિત કરતું નથી કે સેગમેન્ટ અલગ છે, અને અલગતા એ ગેસ્ટ નેટવર્ક હોવાનું કારણ છે. ગેસ્ટ ઉપકરણથી, રાઉટરની વ્યવસ્થાપન ઇન્ટરફેસ, વિશ્વસનીય LAN હોસ્ટ અને નકારવા જોઈએ તેવી સેવા સુધી પહોંચવાનો પ્રયાસ કરો; ત્રણેય નિષ્ફળ જવા જોઈએ, અને નિષ્ફળતા નીતિનો નિર્ણય હોવો જોઈએ, કોઈ સમજી ન શકે તેવો સમયપૂર્તિ નહીં.

પછી મુખ્ય LAN ઉપકરણનું પરીક્ષણ કરો અને પુષ્ટિ કરો કે તેનું આઉટલેટ બદલાયું નથી. આ એ જ રીગ્રેશન છે જે આ ડિઝાઇન સૌથી વધુ વાર કરે છે: મહેમાનો માટે બનાવેલો વ્યાપક નિયમ, દરેક ઇન્ટરફેસ પર લાગુ, કારણ કે મેળ ગંતવ્ય પર લખાયો હતો.

અંતે, જ્યારે ટનલ બંધ હોય ત્યારે શું થાય તે નક્કી કરો. મહેમાનોને કાં ઇન્ટરનેટ મળતું નથી અથવા તમે મંજૂરી આપેલા માર્ગ પર પાછા જાય છે, અને તેને અનિર્ણિત છોડવાનો અર્થ છે સામાન્ય કનેક્શન પર શાંત પાછા જવું, જે ગેસ્ટ નીતિ રોકવા માંગતી હતી તે જ લીક છે. ઇન્ટરનેટ ટ્રાફિકના રૂટિંગની રીત pfSense-આધારિત રાઉટર માટે એ જ માર્ગ પસંદગીમાંથી પસાર થાય છે.

રાઉટરમાંથી ઉદ્ભવતું DNS એ કિસ્સો છે જે લોકોને અંતે આશ્ચર્યમાં મૂકે છે. જો મહેમાનો રાઉટરને તેમના રિઝોલ્વર તરીકે વાપરે છે, તો રાઉટરની પોતાની ક્વેરીઓ ગેસ્ટ નિયમને બદલે રાઉટરના રૂટને અનુસરે છે, તેથી શોધ સામાન્ય કનેક્શન દ્વારા બહાર જઈ શકે છે જ્યારે એપ્લિકેશન ટ્રાફિક બહાર જતો નથી. સેગમેન્ટ, રિઝોલ્વર અને નિષ્ફળતા નીતિને એક નોંધમાં રાખો, અને આગલી વ્યક્તિ ડિઝાઇન ફરીથી મેળવ્યા વિના ત્રણેયને ચકાસી શકશે.