קטע ביתי רק ב-VPN: בטלו את נתיב הגיבוי, לא רק את ה-SSID

אתם שמים את ה-SSID לאורחים על ה-VPN וקוראים לקטע VPN בלבד. ואז המנהרה נופלת לשתי דקות והמכשירים חוזרים בשקט ל-WAN הרגיל. שום דבר בשם ה-SSID לא מנע זאת. קטע VPN בלבד מוגדר לפי מה שקורה כשהמנהרה אינה זמינה, ולא לפי התווית של הרשת.

התווית היא הבטחה; מדיניות הגיבוי היא האכיפה.

מיתוס: ה-SSID הוא הגבול

SSID בלי מדיניות העברה משלו הוא רק שם. הגבול הוא ממשק, VLAN או תת-רשת נפרדים, עם טווח DHCP משלו וכללים משלו. VLAN נותן לכם גבול העברה ששם Wi-Fi לא יכול לתת.

בידוד לקוחות הוא גם חלק מהתכנון. ייתכן ששני מכשירים בקטע יצטרכו לדבר זה עם זה, וייתכן שלא, והבחירה הזו צריכה להיות מפורשת ולא לרשת מפרופיל אורחים.

רשמו את הממשק ואת טווח הכתובות של הקטע לפני שתכתבו אפילו כלל אחד. השורה האחת הזו מונעת את רוב הבלבול המאוחר.

מיתוס: נתיב המנהרה מכסה כל פרוטוקול

החילו את מדיניות הקושחה על הקטע הזה כך שהתעבורה שלו לאינטרנט תשתמש במנהרה. הגדירו את ההעברה והתרגום המרוחקים שהמנהרה דורשת. השאירו רק את הגישה למשאבים מקומיים שהקטע באמת צריך.

בדקו את שתי משפחות הכתובות. אם IPv6 אינו מועבר דרך המנהרה, המדיניות חייבת לטפל בו, אחרת מכשיר עם תמיכת IPv6 ימצא נתיב ישיר שלא התכוונתם לו.

מתג חירום ל-IPv4 בלבד עם IPv6 מופעל הוא דרך נפוצה לדליפה. בדקו עם לקוח עם תמיכת IPv6, לא רק עם המחשב הנייד שיש לכם ביד.

מיתוס: ה-DNS ונקודת הקצה של המנהרה הולכים אחרי המנהרה

אפשר ליצור DNS של הנתב באופן מקומי והוא יכול ללכת אחרי טבלת הניתוב של הנתב עצמו, ולא אחרי מדיניות הקטע. החליטו באיזה נתיב צריך להשתמש אותו פותר ומה הוא עושה כשהמנהרה נכשלת. החיבור של נקודת הקצה של ה-VPN עצמו הוא חריג נוסף: הוא צריך את הנתיב החיצוני המתועד אל העמית. נתבו את החיבור הזה לתוך המנהרה והוא לא יוכל לעלות.

הפרידו את ניהול השחזור מגישת האינטרנט של הקטע. אם עמית כושל גם נועל אתכם מחוץ לנתב, הפכתם תקלת מנהרה לביקור באתר. השאירו את הגישה הזו ברשת ניהול, ולא בקטע VPN בלבד.

מה באמת הופך אותו ל-VPN בלבד

חסמו העברת WAN רגילה לקטע בכל פעם שהמנהרה למטה. הכלל הזה, ולא ה-SSID, הוא מה שהופך את התווית לאמיתית. בדקו אותו בתעבורה לא מזיקה ממכשיר בקטע.

בצעו שלוש בדיקות: פעולה רגילה דרך המנהרה, מבחן הכשל המותר כשהמנהרה למטה, והשחזור כשהיא חוזרת. ודאו שקטע ביתי אחר שומר על הנתיב המיועד שלו לאורך כל הזמן. תעדו כל חריג ישיר, אחרת התווית מסתירה נתיבים שאינכם זוכרים.

תיעוד קצר של הקטע, המנהרה הנבחרת והחריגים נותן לכם בדיקות מדויקות אחרי שעדכון קושחה משנה את סדר הכללים או את התנהגות הפותר. מתכון לקוח WireGuard של pfSense הוא מקור עזר שימושי לצד המנהרה, לא תחליף למדיניות הקטע.