Wi-Fi hozzáférési pont VPN-átjáró mögött: tartson meg egy LAN-t

A vezeték nélküli kliensek ülhetnek VPN mögött anélkül, hogy a hozzáférési pont bármit is tudna az alagútról. Hidalja át a rádiót az átjáró LAN-jára, hagyja, hogy az átjáró birtokolja a címzést és az alagutat, és a Wi-Fi minden eszköze ugyanazt a szabályzatot örökli. Az alternatíva, egy második irányított szegmens saját átjáróval, más kialakítás, más hibaüzemmóddal.

A kettő összekeveredik, mert mindkettő egy dobozt tesz az internet és az eszközök közé. Annak összehasonlítása, hogy melyik mi birtokol, a leggyorsabb választási mód.

Két módja annak, hogy a VPN a Wi-Fi elé kerüljön

Áthidalt elrendezésben a hozzáférési pont kereteket visz a rádió és a vezetékes szegmens között, és semmi mást: egy alhálózat, egy címhatóság, egy útválasztó, amely a szabályzatot végrehajtja. Irányított elrendezésben a második doboznak saját címei, saját DHCP-tartománya és saját alapértelmezett útvonala van, így a forgalom még egy határt átlép, mielőtt eléri az alagutat. Az áthidalt kialakítás minden vezeték nélküli eszközt helyinek mutat az átjáró számára, ezért egyetlen szabálykészlet lefedi mindet. Az irányított kialakítás ad egy szegmenst, amin gondolkodhat, és egy második helyet, ahol a szabályzat elromolhat.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Válassza az áthidaltat, ha a követelmény az, hogy a vezeték nélküli eszközök ugyanazt az alagutat használják, mint a vezetékesek. Válassza az irányítottat, ha izolálható szegmenst szeretne, vagy ha a második doboz már létezik útválasztóként.

Mit változtat valójában az áthidalt elrendezés

Az áthidalás eltávolít egy fordítási réteget és egy versengő alapértelmezett átjárót, és hozzáad egy kezelési problémát. A hozzáférési pontnak továbbra is kell egy elérhető cím, amit a gyártói munkafolyamat általában a fő LAN-on keresztül rendez. A DHCP-szolgáltatásának ki kell lennie kapcsolva, különben két hatóság ellentmondó bérleteket oszt. Az átjáró megtartja az alagutat, a feloldó beállításait és a döntést arról, mi történik, ha az alagút elesik, így a szabályzat pontosan egy helyen él.

A rádió ebből semmit sem örököl automatikusan az alagúttól. Csupán abbahagyja az olyan rétegek hozzáadását, amelyek elfednék.

Hová illik egy második irányított szegmens

Az irányított szegmens megérdemli a bonyolultságát, ha a mögötte lévő eszközöknek más bánásmódra van szükségük, mint a LAN többi részének. Egy vendéghálózat, egy labor vagy olyan kliensek csoportja, amelyeknek mindig egy adott országon keresztül kell kilépniük, mind ok arra, hogy útválasztót tegyünk az útvonalba. Az ár egy második címhatóság, egy második tűzfal, amelyet összhangban kell tartani, és egy visszatérő útvonal a fő LAN-ból, ha ott valakinek el kell érnie a szegmenst. Ezek kötelezettségek, nem konfigurációs részletek.

A gyakori hiba, hogy az irányított változat véletlenül épül fel, egy olyan útválasztó újrahasználatával, amely még mindig a saját DHCP-jét és fordítását futtatja. Ez kettős fordítást és olyan szabályzatot eredményez, amelyet senki sem tud nyomon követni.

Wi-Fi kliensről teszteljen, ne az átjáróról

Az átjárón sikeres kérés bizonyítja, hogy az alagút működik az átjáró számára. A valódi kérdés az, hogy egy vezeték nélküli kliens továbbított forgalma használja-e, és ezt a kliensről kell megfigyelni. Az alábbi parancsok a kliens címét, útvonalát és a távoli szolgáltatás által látott címet ellenőrzik.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Az átjáró LAN-ján belüli cím megerősíti, hogy a híd kereteket enged át, nem fordítja le őket. Az olyan útvonal, amelynek első ugrása az átjáró, megerősíti, hogy a kliens nem szerzett második alapértelmezett útvonalat máshonnan. A kilépési cím ellenőrzése a valódi kérdésre válaszol, a rövid nyomvonal pedig megmutatja, hogy az első ugrások a vártak-e. Ha a kliens címe más tartományból jön, az első gyanúsított egy elkóborolt DHCP-kiszolgáló.

Írja fel minden doboz szerepét, a címét és a DHCP-hatóságot. Egy három vonalas ábra elég, és eldönti a legtöbb vitát arról, hová tartozik egy szabály.