Domaći segment samo za VPN: ugasite rezervni put, ne samo SSID

Stavite gostujući SSID na VPN i nazovete segment samo za VPN. Zatim tunel padne na dvije minute i uređaji se tiho vrate na obični WAN. Ništa u nazivu SSID-a to nije spriječilo. Segment samo za VPN definira se onim što se dešava kada tunel nije dostupan, a ne oznakom mreže.

Oznaka je obećanje; politika rezervnog puta je provedba.

Mit: SSID je granica

SSID bez vlastite politike prosljeđivanja samo je naziv. Granica je zasebno sučelje, VLAN ili podmreža, s vlastitim DHCP rasponom i vlastitim pravilima. VLAN vam daje granicu prosljeđivanja koju naziv Wi-Fi mreže ne može dati.

Izolacija klijenata također spada u dizajn. Dva uređaja na segmentu možda moraju razgovarati jedan s drugim, a možda i ne, i taj izbor treba biti izričit, a ne naslijeđen iz gostujućeg profila.

Zapišite sučelje segmenta i raspon adresa prije nego što napišete i jedno pravilo. Taj jedan redak sprječava većinu kasnije zabune.

Mit: ruta tunela pokriva svaki protokol

Primijenite politiku firmvera na taj segment tako da njegov promet prema internetu koristi tunel. Konfigurirajte udaljeno prosljeđivanje i prevođenje koje tunel zahtijeva. Zadržite samo pristup lokalnim resursima koji segmentu stvarno treba.

Provjerite obje adresne porodice. Ako IPv6 ne prolazi kroz tunel, politika se mora nositi s njim, inače će uređaj s podrškom za IPv6 naći izravnu rutu koju niste namjeravali.

Prekidač zaštite samo za IPv4 s uključenim IPv6 čest je način curenja. Testirajte s klijentom koji podržava IPv6, ne samo s prijenosnikom koji vam je pri ruci.

Mit: DNS i krajnja točka tunela slijede tunel

DNS usmjerivača može se generirati lokalno i slijediti vlastitu tablicu usmjeravanja usmjerivača, a ne politiku segmenta. Odlučite kojim putem taj razrješivač treba ići i šta radi kada tunel zakaže. Vlastita veza VPN-a prema krajnjoj točki je još jedna iznimka: potrebna joj je dokumentirana vanjska ruta do partnera. Usmjerite tu vezu u tunel i ona se ne može uspostaviti.

Držite administraciju za oporavak odvojeno od internetskog pristupa segmenta. Ako vas neuspjeli partner također zaključa iz usmjerivača, pretvorili ste ispad tunela u posjet lokaciji. Držite taj pristup na upravljačkoj mreži, a ne na segmentu samo za VPN.

Šta ga zapravo čini samo za VPN

Blokirajte obično prosljeđivanje na WAN za segment kad god je tunel pao. To pravilo, a ne SSID, čini oznaku istinitom. Testirajte ga bezopasnim prometom s uređaja u segmentu.

Provedite tri provjere: normalan rad kroz tunel, dopušteni test kvara s isključenim tunelom i oporavak kada se vrati. Potvrdite da drugi kućni segment cijelo vrijeme zadržava svoju predviđenu rutu. Dokumentirajte sve izravne iznimke, inače oznaka skriva putanje kojih se više ne sjećate.

Kratak zapis o segmentu, odabranom tunelu i iznimkama daje vam konkretne provjere nakon što ažuriranje firmvera promijeni redoslijed pravila ili ponašanje razrješivača. pfSense WireGuard recept za klijent korisna je referenca za stranu tunela, a ne zamjena za politiku segmenta.