A vendég Wi-Fi továbbra is a fő útvonalat használja: adj neki saját kijáratot

Létrehoztál egy vendéghálózatot, hozzáadtál egy útvonalat, és a vendégek mégis a normál internetkapcsolatodon keresztül távoznak. Az alagút él, a fő LAN működik, és a vendégeszközök a kiosztott tartományba eső címet jelentenek, tehát semmi sem tűnik töröttnek. Ami általában hiányzik, az nem egy útvonal, hanem egy választó: az útválasztó még az előtt dönt az útvonalról, hogy figyelembe venné, melyik interfészen érkezett a csomag, és hacsak valami kifejezetten nem illeszkedik a vendégforgalomra, az a forgalom örökli az alapértelmezést. A javítás egy szegmens, egy házirend-szabály és egy válaszút, ebben a sorrendben.

A tünet: a vendégek továbbra is a WAN felé távoznak

A nyom a kilépési cím. Egy vendégeszköz, amely az alagúton keresztül éri el az internetet, az alagút szolgáltatójának címét fogja jelenteni, és amelyik az alapértelmezést örökölte, a normál kapcsolatodat. Hasonlíts össze egymás mellett egy vendégeszközt és egy fő LAN-eszközt, mert az érdekes eset az, amikor eltérnek attól, amit beállítottál, és egymással egyeznek.

A második nyom az, hogy nincs semmilyen forgalom az alagút interfészén, miközben a vendégek böngésznek. Ha a számlálók nem mozdulnak, a házirendet soha nem alkalmazták, és magának az alagútnak a hangolása nem segíthet.

1. lépés: valódi szegmens, nem csak egy név

Az SSID-név nem hoz létre elkülönítést. Ellenőrizd, hogy a vendéghálózat a saját interfészén, VLAN-ján vagy hídján végződik-e, és hogy a címek tartománya eltér a megbízható LAN-tól. Sok fogyasztói hozzáférési ponton a vendég SSID-t ugyanabba a szegmensbe hidalják, mint minden mást, ami a munka többi részét lehetetlenné teszi, amíg ezt ki nem javítják.

Ezután erősítsd meg a vendégtartományt és annak DHCP-kiszolgálóját, és a feloldó beállításait ahhoz a szegmenshez kösd, ne az egész útválasztóhoz. Az a vendég alhálózat, amely csak egy tűzfal-szabály megjegyzéseként létezik, nem szegmens, és az útválasztónak nem lesz interfésze, amelyhez illeszkedhet.

Ne hidalj vendégeket a fő LAN-ba azért, hogy a VPN beállítása könnyebb legyen. Ez a kívánt elkülönítést egy útválasztási rövidítésre cseréli, és ez a szokásos oka annak, hogy a vendéghálózat végül hozzáfér a nyomtatóhoz és a NAS-hoz.

2. lépés: válaszd ki az alagutat forrás szerint

Az útválasztási táblákat cél szerint választjuk, ezért a «küldd a 0.0.0.0/0-t az alagútba» szabály mindenkire vonatkozik. A házirend-alapú útválasztás egy második dimenziót ad hozzá: a tábla kiválasztását forráscím szerint. Linux-alapú útválasztón ez egy további szabály plusz egy dedikált tábla, és a sorrend számít, mert az első egyező szabály nyer:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Az utolsó parancs közvetlenül megválaszolja a kérdést: melyik interfészt fogja ez a forrás ehhez a célhoz használni. Futtasd a változás előtt és után, és tudni fogod, hogy a házirend érvényesült-e anélkül, hogy böngészőt érintenél.

A legtöbb útválasztó firmware ugyanezt interfészszabályként vagy forrásalapú átjáróválasztásként fejezi ki. Bármilyen szintaxist is használ a platformod, az elv ugyanaz: illeszkedj a bejövő interfészre vagy a forrás előtagjára, majd csak arra az egyezésre írd felül az útvonalat. A cél szerint illeszkedő szabály nem tud különbséget tenni vendég és háztartási eszköz között.

3. lépés: a válaszút és a fordítás

Az alagúton távozó csomagnak vissza kell térnie. Vagy az alagút partnere ismer egy visszautat a vendég előtaghoz, vagy az útválasztó lefordítja a vendég forrását az alagút címére. Válassz egyet, és írd le, mert a hiba módjai eltérően néznek ki: a hiányzó visszaút olyan kapcsolatot ad, amely létrejön, és soha nem válaszol, míg a hiányzó fordítás gyakran semmit sem hoz létre.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Ha a fordítást választod, ne feledd, hogy a partner most egy címet lát minden vendég számára, így a távoli végponton minden ügyfélenkénti házirend eltűnik. Ha inkább megtartod a címeket, mindkét végpontnak szüksége van a vendég előtagra az útválasztásában és a házirendjében, ami több munka és kiszámíthatóbb.

Az IPv6-nak saját szabályra van szüksége. Az IPv4-hez írt házirend nem fedi le a másik családot, és egy működő IPv6-tal rendelkező vendégeszköz szívesen használja, miközben a gondosan irányított IPv4-útvonalad tétlenül áll. Irányítsd mindkét családot, vagy tiltsd le az IPv6-ot a vendégszegmensen, de ne feltételezd, hogy az írt kombinált szabály lefedi azt, amit az eszköz valójában tesz. Tesztelj olyan klienssel, amelyen mindkét család engedélyezett, mert ez az az eset, amelyet a tervezésnek túl kell élnie. Az IPv6-ot előnyben részesítő laptop csak IPv4-es tesztben tűnik helyesnek, a valóságban szivárog.

Az elkülönítést teszteld, ne csak a böngészést

A böngészés bizonyítja, hogy a kijárat megváltozott. Nem bizonyítja, hogy a szegmens elkülönített, pedig az elkülönítés az oka annak, hogy a vendéghálózat létezik. Egy vendégeszközről próbáld elérni az útválasztó felügyeleti interfészét, egy megbízható LAN-gazdát és egy szolgáltatást, amelyet el kellene utasítani; mindháromnak kudarcot kell vallania, és a kudarcnak házirend-döntésnek kell lennie, nem pedig olyan időtúllépésnek, amelyet senki sem tud megmagyarázni.

Ezután tesztelj egy fő LAN-eszközt, és erősítsd meg, hogy a kijárata nem változott. Ez az a regresszió, amelyet ez a tervezés leggyakrabban okoz: egy vendégeknek szánt széles szabály, amelyet minden interfészre alkalmaztak, mert az egyezést a cél szerint írták.

Végül döntsd el, mi történik, amikor az alagút leáll. A vendégek vagy nem kapnak internetet, vagy egy általad jóváhagyott útvonalra esnek vissza, és ennek eldöntetlenül hagyása csendes visszaesést jelent a normál kapcsolatra, ami pontosan az a szivárgás, amelyet a vendégházirend meg akart akadályozni. Az internetforgalom útválasztási receptje ugyanazt az útvonalválasztást járja végig egy pfSense-alapú útválasztóhoz.

Az útválasztóból származó DNS az az eset, amely utoljára lepi meg az embereket. Ha a vendégek az útválasztót használják feloldóként, az útválasztó saját lekérdezései az útválasztó útvonalát követik a vendégszabály helyett, így a keresések a normál kapcsolaton távozhatnak, miközben az alkalmazásforgalom nem. Tartsd a szegmenst, a feloldót és a hiba-házirendet egy jegyzetben, és a következő ember mindhármat ellenőrizheti anélkül, hogy újra levezetné a tervezést.