Wi-Fi क्लाइंट आइसोलेशन बनाम VPN स्थानीय एक्सेस: आपको कौन रोकता है

एक ही गेस्ट SSID पर दो फ़ोन रखें, कोई एक-दूसरे को नहीं देखता, फिर भी दोनों इंटरनेट तक पहुँचते हैं। उनमें से एक पर VPN क्लाइंट जोड़ें, तीन मीटर दूर का प्रिंटर अदृश्य रहता है, जबकि दूसरे महाद्वीप का सर्वर ping का जवाब देता है। टनल में कुछ टूटा नहीं है; दो अलग एक्सेस निर्णय शामिल हैं, और उनमें से केवल एक रूटिंग के बारे में है। एक्सेस पॉइंट तय करता है कि वायरलेस क्लाइंट आपस में बात कर सकते हैं या नहीं, और VPN क्लाइंट तय करता है कि कौन-से गंतव्य टनल से बाहर जाते हैं। इन दोनों को मिलाने से घंटों का निरर्थक कॉन्फ़िगरेशन बदलाव होता है।

दोनों द्वार स्वतंत्र हैं

क्लाइंट आइसोलेशन स्विचिंग का निर्णय है। एक्सेस पॉइंट एक जुड़े स्टेशन से फ़्रेम लेता है, गंतव्य देखता है, पाता है कि गंतव्य उसी ब्रिज पर दूसरा स्टेशन है, और उसे गिरा देता है। स्टेशन का IP पता उस निर्णय के लिए अप्रासंगिक है, और VPN भी।

रूटिंग क्लाइंट पर लिया गया दूसरा निर्णय है। VPN की रूट तालिका तय करती है कि 192.168.1.50 के लिए पैकेट टनल में प्रवेश करेगा या Wi-Fi इंटरफ़ेस से बाहर जाएगा। यदि पैकेट Wi-Fi से बाहर जाता है और एक्सेस पॉइंट क्लाइंट को आइसोलेट करता है, तो वह एक्सेस पॉइंट पर ही मर जाता है। यदि पैकेट टनल में प्रवेश करता है, तो एक्सेस पॉइंट मूल गंतव्य कभी नहीं देखता और कुछ भी आइसोलेट नहीं कर सकता।

सामान्य एक्सेस पॉइंट पर आइसोलेशन क्या रोकता है

निर्माता इसे कई नामों से भेजते हैं: क्लाइंट आइसोलेशन, AP आइसोलेशन, स्टेशन आइसोलेशन, या ऐसा गेस्ट नेटवर्क जो इसे निहित करता है। OpenWrt में प्रति-इंटरफ़ेस विकल्प वायरलेस कॉन्फ़िगरेशन के भीतर isolate है, जैसा कि वायरलेस दस्तावेज़ में वर्णित है, और गेस्ट SSID को आमतौर पर अपना ब्रिज और फ़ायरवॉल ज़ोन मिलता है। प्रभाव यह है कि क्लाइंट के बीच unicast फ़्रेम ब्रिज नहीं होते, इसलिए पड़ोसी को ping, SMB कनेक्शन या प्रिंट कार्य विफल हो जाता है, भले ही दोनों डिवाइस पूरा सिग्नल दिखाते हों।

खोज प्रोटोकॉल सबसे पहले और सबसे स्पष्ट रूप से प्रभावित होते हैं। प्रिंटर और मीडिया डिवाइस के लिए mDNS 224.0.0.251 पर multicast जाता है, SSDP 239.255.255.250 का उपयोग करता है, और ये फ़्रेम ब्रिज पार करते हैं या नहीं, यह निर्माता पर और multicast-से-unicast रूपांतरण सक्षम है या नहीं, इस पर निर्भर करता है। सूची से गायब डिवाइस ज्ञात पते पर विफल सीधे कनेक्शन से कमज़ोर सबूत है।

VPN क्या बदलता है, और क्या नहीं बदल सकता

पूरा टनल डिफ़ॉल्ट रूट लेता है, इसलिए स्थानीय सबनेट तभी पहुँच में आते हैं जब क्लाइंट उनके लिए अधिक विशिष्ट रूट रखे। स्प्लिट टनल उलटा करते हैं और डिज़ाइन से स्थानीय एक्सेस बनाए रखते हैं। इनमें से कोई भी सेटिंग आइसोलेट करने वाले एक्सेस पॉइंट को उसके दो क्लाइंट के बीच फ़्रेम भेजने के लिए मजबूर नहीं कर सकती, इसलिए VPN क्लाइंट में स्थानीय ट्रैफ़िक की अनुमति आवश्यक है पर पर्याप्त नहीं।

उलटा मामला भी उतना ही सामान्य है। एक्सेस पॉइंट पीयर ट्रैफ़िक की अनुमति देता है, VPN क्लाइंट स्थानीय सबनेट को टनल से बाहर रखता है, और प्रिंटर फिर भी जवाब नहीं देता क्योंकि होस्ट फ़ायरवॉल Wi-Fi नेटवर्क को सार्वजनिक मानता है। तीन परतें, तीन अलग डिफ़ॉल्ट, और अधिकांश VPN लॉग में केवल रूट दिखता है।

पता लगाएँ कौन-सा द्वार बंद है

ऐसी जाँच से शुरू करें जो VPN को तस्वीर से हटा दे: दो सामान्य डिवाइस एक ही SSID से जोड़ें और पते से एक-दूसरे तक पहुँचने का प्रयास करें। यदि यह विफल हो, तो एक्सेस पॉइंट आइसोलेट कर रहा है और कोई VPN सेटिंग इसे ठीक नहीं करेगी। यदि सफल हो, तो क्लाइंट पर जाएँ और Linux पर ip route get 192.168.1.50 या Windows पर Find-NetRoute -RemoteIPAddress 192.168.1.50 चलाएँ; आउटपुट उस इंटरफ़ेस का नाम बताता है जिसका पैकेट उपयोग करेगा।

जब रूट Wi-Fi इंटरफ़ेस की ओर इशारा करता है, पैकेट बिना एन्क्रिप्शन के बाहर जाता है और प्रश्न यह हो जाता है कि एक्सेस पॉइंट और होस्ट फ़ायरवॉल इसे अनुमति देते हैं या नहीं। जब रूट टनल की ओर इशारा करता है, गंतव्य VPN सर्वर को भेजा जा रहा है, जो एक ही LAN के डिवाइस के लिए गलत है और आमतौर पर इसका अर्थ है कि टनल की अनुमत सूची बहुत व्यापक है।

प्रिंटर के पोर्ट पर सीधा कनेक्शन खोज सूची से बेहतर जाँच है। Linux पर nc -vz 192.168.1.50 9100 या PowerShell में Test-NetConnection 192.168.1.50 -Port 9100 आपको बताता है कि पता बिलकुल पहुँच में है या नहीं, इससे पहले कि कोई एप्लिकेशन-स्तरीय पेयरिंग चर्चा में आए।

जिस नेटवर्क पर आप हैं, उसके लिए सुधार चुनें

होटल या गेस्ट नेटवर्क पर आइसोलेशन जानबूझकर होता है और आपको उसे तोड़ने का प्रयास नहीं करना चाहिए। स्थानीय डिवाइस को अप्राप्य मानें, प्रिंट या साझा कर सकने वाले होस्ट तक पहुँचने के लिए VPN का उपयोग करें, और SSID को LAN मानना बंद करें।

घर पर, जब डिवाइस आपके हों तो मुख्य SSID पर आइसोलेशन बंद करना उचित है, जबकि गेस्ट SSID आइसोलेटेड रहता है। सेटिंग एक्सेस पॉइंट के वायरलेस कॉन्फ़िगरेशन में रहती है, और उसका स्थान वहीं है, हर क्लाइंट पर फ़ायरवॉल अपवादों में नहीं।

दफ़्तर में मान लें कि एक्सेस पॉइंट, VLAN और होस्ट फ़ायरवॉल सभी जानबूझकर हैं। आइसोलेशन बंद करने का अनुरोध करने के बजाय जाँच परिणामों के साथ एस्केलेट करें, क्योंकि क्लाइंट को अलग रखने वाला नेटवर्क आमतौर पर कुछ सुरक्षित करता है।

एप्लिकेशन सत्यापित करें, केवल ping नहीं

सफल ping मार्ग साबित करता है, सेवा नहीं। प्रिंटर अक्सर कच्चा 9100 या 631 पर IPP स्वीकार करते हैं पर खोज अस्वीकार करते हैं, और फ़ाइल साझा करने के लिए 445 तथा काम करने वाला नाम रिज़ॉल्यूशन चाहिए। एप्लिकेशन जो पोर्ट उपयोग करता है उसकी पुष्टि करें, फिर डिवाइस पर वास्तविक कार्य फिर से आज़माएँ।

अपने नोट्स में दोनों परतें अलग रखें: Wi-Fi नेटवर्क क्या अनुमति देता है, और VPN क्या रूट करता है। अगली बार जब कोई डिवाइस सूची से गायब हो, तो यह विभाजन बताएगा कि पहले कहाँ देखना है।