Csak VPN-es otthoni szegmens: kapcsolja ki a tartalék útvonalat, ne csak az SSID-t

A vendég SSID-t a VPN-re teszi, és a szegmenst csak VPN-nek nevezi. Aztán az alagút két percre kiesik, és az eszközök csendesen visszatérnek a szokásos WAN-ra. Az SSID nevében semmi sem akadályozta ezt. A csak VPN-es szegmens az határozza meg, hogy mi történik, amikor az alagút nem érhető el, nem a hálózat címkéje.

A címke ígéret; a tartalék útvonal szabályzata a végrehajtás.

Tévhit: az SSID a határ

Egy SSID saját továbbítási szabályzat nélkül csak egy név. A határ egy külön interfész, VLAN vagy alhálózat, saját DHCP-tartománnyal és saját szabályokkal. A VLAN olyan továbbítási határt ad, amit egy Wi-Fi-név nem tud.

Az ügyfélizoláció is a tervezés része. A szegmens két eszközének lehet, hogy beszélnie kell egymással, vagy lehet, hogy nem, és ezt a választást egyértelművé kell tenni, nem pedig vendégprofilból örökölni.

Írja fel a szegmens interfészét és címtartományát, mielőtt egyetlen szabályt írna. Ez az egy sor megelőzi a későbbi zavar nagy részét.

Tévhit: az alagút útvonala minden protokollt lefed

Alkalmazza a firmware szabályzatát arra a szegmensre, hogy az internet felé menő forgalma az alagutat használja. Állítsa be a távoli továbbítást és fordítást, amelyre az alagútnak szüksége van. Csak azt a helyi erőforrás-elérést tartsa meg, amelyre a szegmensnek valóban szüksége van.

Ellenőrizze mindkét címcsaládot. Ha az IPv6 nem halad át az alagúton, a szabályzatnak kezelnie kell, különben egy IPv6-képes eszköz olyan közvetlen útvonalat talál, amelyet nem szándékozott.

A csak IPv4-re működő vészkapcsoló bekapcsolt IPv6 mellett gyakori szivárgási mód. IPv6-képes klienssel tesztelje, ne csak a kéznél lévő laptoppal.

Tévhit: a DNS és az alagút végpontja követi az alagutat

A router DNS-e helyben generálható, és a router saját útválasztási táblázatát követheti, nem a szegmens szabályzatát. Döntse el, melyik útvonalat használja az a feloldó, és mit tesz, amikor az alagút meghibásodik. Maga a VPN végpontkapcsolata egy másik kivétel: szüksége van a dokumentált külső útvonalra a partner felé. Irányítsa ezt a kapcsolatot az alagútba, és nem tud felépülni.

Tartsa külön a helyreállítási adminisztrációt a szegmens internetelérésétől. Ha egy meghibásodott partner a routerből is kizárja, akkor az alagút kiesését helyszíni látogatássá változtatta. Tartsa ezt az elérést egy kezelőhálózaton, ne a csak VPN-es szegmensen.

Mi teszi valóban csak VPN-né

Blokkolja a szegmens szokásos WAN-továbbítását, amikor az alagút le van állva. Ez a szabály, nem az SSID teszi igazzá a címkét. Tesztelje ártalmatlan forgalommal egy szegmensbeli eszközről.

Végezzen három ellenőrzést: a normál működést az alagúton át, az engedélyezett hiba tesztet leállított alagúttal, és a helyreállítást, amikor visszatér. Erősítse meg, hogy egy másik háztartási szegmens végig megtartja a szánt útvonalát. Dokumentáljon minden közvetlen kivételt, különben a címke elrejti azokat az útvonalakat, amelyekre már nem emlékszik.

A szegmensről, a választott alagútról és a kivételekről szóló rövid feljegyzés konkrét ellenőrzéseket ad, miután egy firmware-frissítés megváltoztatja a szabályok sorrendjét vagy a feloldó viselkedését. A pfSense WireGuard kliens receptje hasznos hivatkozás az alagút oldalához, nem helyettesíti a szegmens szabályzatát.