VPN गेटवे के पीछे Wi-Fi एक्सेस पॉइंट: एक ही LAN रखें

वायरलेस क्लाइंट VPN के पीछे बैठ सकते हैं, जबकि एक्सेस पॉइंट को टनल के बारे में कुछ पता न हो। रेडियो को गेटवे की LAN पर ब्रिज करें, एड्रेसिंग और टनल गेटवे के पास रहने दें, और Wi-Fi पर हर डिवाइस को वही नीति विरासत में मिलती है। विकल्प, अपने गेटवे वाला दूसरा रूटेड सेगमेंट, अलग विफलता मोड वाला अलग डिज़ाइन है।

दोनों में भ्रम इसलिए होता है क्योंकि दोनों इंटरनेट और आपके डिवाइसों के बीच एक बॉक्स रखते हैं। हर एक के पास क्या है, इसकी तुलना करना चुनने का सबसे तेज़ तरीका है।

Wi-Fi के आगे VPN रखने के दो तरीके

ब्रिज किए गए लेआउट में एक्सेस पॉइंट रेडियो और वायर्ड सेगमेंट के बीच फ़्रेम ले जाता है और बस इतना ही: एक सबनेट, एक एड्रेस प्राधिकरण, नीति लागू करने वाला एक राउटर। रूटेड लेआउट में दूसरे बॉक्स के अपने एड्रेस, अपना DHCP स्कोप और अपना डिफ़ॉल्ट रूट होता है, इसलिए ट्रैफ़िक टनल तक पहुँचने से पहले एक और सीमा पार करता है। ब्रिज डिज़ाइन हर वायरलेस डिवाइस को गेटवे के लिए स्थानीय दिखाता है, इसीलिए नियमों का एक सेट उन सबको कवर करता है। रूटेड डिज़ाइन आपको सोचने के लिए एक सेगमेंट और नीति के गलत होने की दूसरी जगह देता है।

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

ब्रिज तब चुनें जब आवश्यकता यह हो कि वायरलेस डिवाइस वायर्ड डिवाइसों जैसी ही टनल इस्तेमाल करें। रूटेड तब चुनें जब आप ऐसा सेगमेंट चाहें जिसे अलग किया जा सके, या जब दूसरा बॉक्स पहले से राउटर के रूप में मौजूद हो।

ब्रिज किया गया लेआउट वास्तव में क्या बदलता है

ब्रिजिंग अनुवाद की एक परत और प्रतिस्पर्धी डिफ़ॉल्ट गेटवे हटाती है, और प्रबंधन की समस्या जोड़ती है। एक्सेस पॉइंट को अब भी ऐसा एड्रेस चाहिए जहाँ आप पहुँच सकें, जिसे विक्रेता का वर्कफ़्लो आमतौर पर मुख्य LAN के ज़रिए व्यवस्थित करता है। उसकी DHCP सेवा बंद होनी चाहिए, वरना दो प्राधिकरण परस्पर विरोधी लीज़ देंगे। गेटवे टनल, रिज़ॉल्वर की सेटिंग्स और टनल गिरने पर क्या होगा, यह निर्णय रखता है, इसलिए नीति ठीक एक ही जगह रहती है।

रेडियो को इनमें से कुछ भी टनल से अपने आप विरासत में नहीं मिलता। वह बस ऐसी परतें जोड़ना बंद कर देता है जो इसे ढँक देंगी।

दूसरा रूटेड सेगमेंट कहाँ फिट बैठता है

रूटेड सेगमेंट अपनी जटिलता तब कमाता है जब उसके पीछे के डिवाइसों को बाकी LAN से अलग व्यवहार चाहिए। अतिथि नेटवर्क, प्रयोगशाला, या ऐसे क्लाइंटों का समूह जिन्हें हमेशा किसी विशेष देश से बाहर जाना हो—ये सब रास्ते में राउटर रखने के कारण हैं। कीमत दूसरा एड्रेस प्राधिकरण, सुसंगत रखने के लिए दूसरा फ़ायरवॉल, और मुख्य LAN से वापसी का रूट है अगर वहाँ किसी को सेगमेंट तक पहुँचना हो। ये कॉन्फ़िगरेशन के विवरण नहीं, बाध्यताएँ हैं।

आम गलती यह है कि रूटेड संस्करण संयोग से बन जाए, ऐसे राउटर का दोबारा उपयोग करके जो अब भी अपना DHCP और अनुवाद चलाता है। इससे दोहरा अनुवाद और ऐसी नीति बनती है जिसे कोई ट्रेस नहीं कर सकता।

गेटवे से नहीं, Wi-Fi क्लाइंट से परीक्षण करें

गेटवे पर सफल अनुरोध साबित करता है कि टनल गेटवे के लिए काम करती है। असली सवाल यह है कि वायरलेस क्लाइंट का फ़ॉरवर्ड किया गया ट्रैफ़िक उसका उपयोग करता है या नहीं, और यह क्लाइंट से ही देखना होगा। नीचे के कमांड क्लाइंट का एड्रेस, उसका रूट और दूरस्थ सेवा जो एड्रेस देखती है, उसकी जाँच करते हैं।

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

गेटवे की LAN के अंदर का एड्रेस पुष्टि करता है कि ब्रिज फ़्रेमों का अनुवाद करने के बजाय उन्हें आगे भेज रहा है। जिस रूट का पहला हॉप गेटवे है, वह पुष्टि करता है कि क्लाइंट ने कहीं और से दूसरा डिफ़ॉल्ट रूट नहीं लिया। निकास एड्रेस की जाँच असली सवाल का जवाब देती है, और छोटा ट्रेस दिखाता है कि पहले हॉप अपेक्षित हैं या नहीं। अगर क्लाइंट का एड्रेस किसी दूसरे स्कोप से आता है, तो पहला संदिग्ध भटका हुआ DHCP सर्वर है।

हर बॉक्स की भूमिका, उसका एड्रेस और DHCP प्राधिकरण लिख लें। तीन लाइनों का आरेख पर्याप्त है, और यह तय करता है कि कोई नियम कहाँ आता है, इस पर अधिकांश बहसें।