केवल VPN वाला घरेलू सेगमेंट: फ़ॉलबैक बंद करें, सिर्फ़ SSID नहीं

आप गेस्ट SSID को VPN पर रखते हैं और सेगमेंट को केवल-VPN कहते हैं। फिर टनल दो मिनट के लिए गिर जाती है और डिवाइस चुपचाप सामान्य WAN पर लौट आते हैं। SSID के नाम में किसी चीज़ ने इसे नहीं रोका। केवल-VPN सेगमेंट इससे परिभाषित होता है कि टनल उपलब्ध न होने पर क्या होता है, नेटवर्क के लेबल से नहीं।

लेबल एक वादा है; फ़ॉलबैक नीति उसका क्रियान्वयन है।

मिथक: SSID ही सीमा है

अपनी फ़ॉरवर्डिंग नीति के बिना SSID केवल एक नाम है। सीमा एक अलग इंटरफ़ेस, VLAN या सबनेट है, जिसका अपना DHCP दायरा और अपने नियम हैं। VLAN आपको वह फ़ॉरवर्डिंग सीमा देता है जो Wi-Fi नाम नहीं दे सकता।

क्लाइंट आइसोलेशन भी डिज़ाइन का हिस्सा है। सेगमेंट के दो डिवाइसों को एक-दूसरे से बात करनी पड़ सकती है, या नहीं भी, और यह चुनाव गेस्ट प्रोफ़ाइल से मिलने के बजाय स्पष्ट होना चाहिए।

एक भी नियम लिखने से पहले सेगमेंट का इंटरफ़ेस और पता-सीमा लिख लें। वह एक पंक्ति बाद की अधिकांश उलझन रोक देती है।

मिथक: टनल रूट हर प्रोटोकॉल को कवर करता है

फ़र्मवेयर की नीति उस सेगमेंट पर लागू करें ताकि उसका इंटरनेट की ओर जाने वाला ट्रैफ़िक टनल का उपयोग करे। टनल को ज़रूरी रिमोट फ़ॉरवर्डिंग और अनुवाद कॉन्फ़िगर करें। केवल वही स्थानीय संसाधन पहुँच रखें जो सेगमेंट को वास्तव में चाहिए।

दोनों पता-परिवार जाँचें। अगर IPv6 टनल से नहीं गुज़रता, तो नीति को उसे सँभालना होगा, वरना IPv6-सक्षम डिवाइस कोई सीधा रास्ता खोज लेगा जो आपका इरादा नहीं था।

IPv6 चालू रहने पर केवल IPv4 वाला किल स्विच लीक होने का आम तरीका है। IPv6-सक्षम क्लाइंट से जाँचें, सिर्फ़ हाथ में मौजूद लैपटॉप से नहीं।

मिथक: DNS और टनल एंडपॉइंट टनल का अनुसरण करते हैं

राउटर DNS स्थानीय रूप से बन सकता है और सेगमेंट की नीति के बजाय राउटर की अपनी रूटिंग तालिका का पालन कर सकता है। तय करें कि उस रिज़ॉल्वर को कौन-सा रास्ता लेना चाहिए और टनल विफल होने पर वह क्या करेगा। VPN का अपना एंडपॉइंट कनेक्शन एक और अपवाद है: उसे पीयर तक दस्तावेज़ित बाहरी रूट चाहिए। उस कनेक्शन को टनल में भेजें और वह ऊपर नहीं आ सकेगा।

रिकवरी प्रशासन को सेगमेंट की इंटरनेट पहुँच से अलग रखें। अगर विफल पीयर आपको राउटर से भी बाहर कर दे, तो आपने टनल आउटेज को साइट विज़िट में बदल दिया है। उस पहुँच को प्रबंधन नेटवर्क पर रखें, केवल-VPN सेगमेंट पर नहीं।

असल में इसे केवल-VPN क्या बनाता है

जब भी टनल नीचे हो, सेगमेंट के लिए सामान्य WAN फ़ॉरवर्डिंग ब्लॉक करें। SSID नहीं, वही नियम लेबल को सच बनाता है। सेगमेंट के डिवाइस से हानिरहित ट्रैफ़िक के साथ इसे जाँचें।

तीन जाँचें करें: टनल से सामान्य संचालन, टनल नीचे रहने पर अनुमत विफलता परीक्षण, और लौटने पर रिकवरी। पुष्टि करें कि कोई दूसरा घरेलू सेगमेंट पूरे समय अपना इच्छित रास्ता बनाए रखता है। किसी भी सीधे अपवाद को दर्ज करें, वरना लेबल उन रास्तों को छिपा देगा जो आपको अब याद नहीं।

सेगमेंट, चुनी गई टनल और अपवादों का एक संक्षिप्त रिकॉर्ड आपको तब ठोस जाँचें देता है जब फ़र्मवेयर अपडेट नियमों का क्रम या रिज़ॉल्वर का व्यवहार बदल देता है। pfSense के लिए WireGuard क्लाइंट रेसिपी टनल पक्ष के लिए उपयोगी संदर्भ है, सेगमेंट नीति का विकल्प नहीं।