Հյուրերի Wi-Fi-ը շարունակում է օգտագործել հիմնական ուղին. տվեք նրան իր սեփական ելքը

Դուք ստեղծեցիք հյուրերի ցանց, ավելացրիք դրա համար ուղի, և հյուրերը դեռ դուրս են գալիս ձեր սովորական ինտերնետ կապով։ Թունելը աշխատում է, հիմնական LAN-ը՝ նույնպես, և հյուր սարքերը հաղորդում են ձեր հատկացրած միջակայքից մի հասցե, այնպես որ ոչինչ կոտրված չի թվում։ Սովորաբար բացակայում է ոչ թե ուղին, այլ ընտրիչը՝ երթուղիչը որոշում է ուղին նախքան հաշվի առնելը, թե որ ինտերֆեյսով է ժամանել փաթեթը, և եթե ինչ-որ բան բացահայտ չհամապատասխանի հյուրերի տրաֆիկին, այդ տրաֆիկը ժառանգում է լռելյայնը։ Լուծումը սեգմենտ, քաղաքականության կանոն և պատասխան ուղի է՝ այդ հերթականությամբ։

Ախտանիշը՝ հյուրերը դեռ դուրս են գալիս WAN-ով

Նշանը ելքի հասցեն է։ Թունելով ինտերնետ հասնող հյուր սարքը կհաղորդի թունելի մատակարարի հասցեն, իսկ լռելյայնը ժառանգածը՝ ձեր սովորական կապը։ Համեմատեք կողք կողքի հյուր սարքը և հիմնական LAN-ի սարքը, որովհետև հետաքրքիր դեպքն այն է, երբ դրանք տարբերվում են ձեր կարգավորածից և համընկնում միմյանց հետ։

Երկրորդ նշանը թունելի ինտերֆեյսի վրա որևէ տրաֆիկի բացակայությունն է, մինչ հյուրերը զննարկում են։ Եթե հաշվիչները չեն շարժվում, քաղաքականությունը երբեք չի կիրառվել, և թունելն ինքնին կարգավորելը չի կարող օգնել։

Քայլ 1. իրական սեգմենտ, ոչ միայն անուն

SSID անունը մեկուսացում չի ստեղծում։ Ստուգեք, որ հյուրերի ցանցը ավարտվում է իր սեփական ինտերֆեյսով, VLAN-ով կամ կամուրջով, և որ հասցեների միջակայքը տարբերվում է վստահելի LAN-ից։ Շատ սպառողական մուտքի կետերում հյուրերի SSID-ն կամրջվում է նույն սեգմենտի մեջ, ինչ մնացած ամեն ինչ, ինչը անհնարին է դարձնում այս աշխատանքի մնացած մասը, քանի դեռ դա չի ուղղվել։

Այնուհետև հաստատեք հյուրերի միջակայքը և դրա DHCP սերվերը, և լուծիչի կարգավորումները պահեք կապված այդ սեգմենտի հետ, ոչ թե ամբողջ երթուղիչի։ Հյուրերի ենթացանցը, որը գոյություն ունի միայն որպես մեկնաբանություն հրապարակի կանոնում, սեգմենտ չէ, և երթուղիչը համապատասխանելու ինտերֆեյս չի ունենա։

Մի կամրջեք հյուրերին հիմնական LAN-ի մեջ՝ VPN-ի կարգավորումը հեշտացնելու համար։ Դա ձեր ուզած մեկուսացումը փոխանակում է երթուղման կարճ ճանապարհով, և դա է սովորական պատճառը, որ հյուրերի ցանցը վերջում հասանելիություն է ստանում տպիչին և NAS-ին։

Քայլ 2. ընտրեք թունելը ըստ աղբյուրի

Երթուղային աղյուսակները ընտրվում են ըստ նպատակակետի, այնպես որ «ուղարկիր 0.0.0.0/0-ը թունել» կանոնը վերաբերում է բոլորին։ Քաղաքականության երթուղումը ավելացնում է երկրորդ չափում՝ ընտրեք աղյուսակը ըստ աղբյուրի հասցեի։ Linux-ի վրա հիմնված երթուղիչում դա լրացուցիչ կանոն է և առանձին աղյուսակ, և հերթականությունը կարևոր է, որովհետև հաղթում է առաջին համապատասխանող կանոնը:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Այդ վերջին հրամանը ուղղակիորեն պատասխանում է հարցին՝ ո՞ր ինտերֆեյսը կօգտագործի այս աղբյուրը այս նպատակակետի համար։ Գործարկեք այն փոփոխությունից առաջ և հետո, և դուք կիմանաք՝ արդյոք քաղաքականությունը ուժի մեջ է մտել՝ առանց դիտարկիչին դիպչելու։

Երթուղիչների որոնվածքի մեծ մասը նույն բանն արտահայտում է որպես ինտերֆեյսի կանոն կամ աղբյուրի վրա հիմնված դարպասի ընտրություն։ Ինչ շարահյուսություն էլ օգտագործի ձեր հարթակը, սկզբունքը նույնն է՝ համապատասխանեցրեք մուտքային ինտերֆեյսին կամ աղբյուրի նախածանցին, ապա վերագրանցեք ուղին միայն այդ համապատասխանության համար։ Նպատակակետով համապատասխանող կանոնը չի կարող տարբերել հյուրին տնային սարքից։

Քայլ 3. պատասխան ուղին և թարգմանությունը

Թունելով դուրս եկող փաթեթը պետք է վերադառնա։ Կա՛մ թունելի գործընկերը գիտի վերադարձի ուղին դեպի հյուրերի նախածանց, կա՛մ երթուղիչը թարգմանում է հյուրերի աղբյուրը թունելի հասցեի։ Ընտրեք մեկը և գրեք այն, որովհետև խափանումների ռեժիմները տարբեր տեսք ունեն՝ բացակայող վերադարձի ուղին տալիս է կապ, որը հաստատվում է և երբեք չի պատասխանում, մինչդեռ բացակայող թարգմանությունը հաճախ ընդհանրապես ոչինչ չի տալիս։

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Եթե ընտրեք թարգմանությունը, հիշեք, որ գործընկերն այժմ մեկ հասցե է տեսնում բոլոր հյուրերի համար, ուստի հեռավոր ծայրում յուրաքանչյուր հաճախորդի համար քաղաքականությունը վերանում է։ Եթե փոխարենը պահպանեք հասցեները, երկու ծայրերն էլ պետք է ունենան հյուրերի նախածանցը իրենց երթուղման և քաղաքականության մեջ, ինչը ավելի շատ աշխատանք է և ավելի կանխատեսելի։

IPv6-ը պահանջում է իր սեփական կանոնը։ IPv4-ի համար գրված քաղաքականությունը չի ծածկում մյուս ընտանիքը, և աշխատող IPv6-ով հյուր սարքը հաճույքով կօգտագործի այն, մինչ ձեր ուշադիր երթուղված IPv4 ուղին անգործուն կմնա։ Երթուղեք երկու ընտանիքներին կամ անջատեք IPv6-ը հյուրերի սեգմենտում, բայց մի ենթադրեք, որ գրած համակցված կանոնը ծածկում է այն, ինչ սարքը իրականում անում է։ Փորձարկեք հաճախորդով, որն ունի երկու ընտանիքներն էլ միացված, որովհետև դա է այն դեպքը, որին դիզայնը պետք է դիմանա։ Նոթբուքը, որը նախընտրում է IPv6-ը, ճիշտ է թվում միայն IPv4 թեստում և արտահոսում է իրականում։

Փորձարկեք մեկուսացումը, ոչ միայն զննարկումը

Զննարկումը ապացուցում է, որ ելքը փոխվել է։ Այն չի ապացուցում, որ սեգմենտը մեկուսացված է, և մեկուսացումն է հյուրերի ցանցի գոյության պատճառը։ Հյուր սարքից փորձեք հասնել երթուղիչի կառավարման ինտերֆեյսին, վստահելի LAN-ի հոսթին և ծառայության, որը պետք է մերժվի՝ բոլոր երեքը պետք է ձախողվեն, և ձախողումը պետք է լինի քաղաքականության որոշում, այլ ոչ թե ժամանակի սպառում, որը ոչ ոք չի կարող բացատրել։

Այնուհետև փորձարկեք հիմնական LAN-ի սարքը և հաստատեք, որ դրա ելքը չի փոխվել։ Սա այն ռեգրեսիան է, որն այս դիզայնը ամենից հաճախ առաջացնում է՝ հյուրերի համար նախատեսված լայն կանոն, կիրառված բոլոր ինտերֆեյսների վրա, որովհետև համապատասխանությունը գրվել էր ըստ նպատակակետի։

Վերջապես, որոշեք, թե ինչ է տեղի ունենում, երբ թունելն անջատված է։ Հյուրերը կա՛մ ինտերնետ չեն ստանում, կա՛մ վերադառնում են ձեր հաստատած ուղուն, և դա չորոշելը նշանակում է լուռ վերադարձ սովորական կապին, ինչը հենց այն արտահոսքն է, որը հյուրերի քաղաքականությունը պետք է կանխեր։ Ինտերնետ տրաֆիկի երթուղման բաղադրատոմսը անցնում է նույն ուղու ընտրությամբ pfSense-ի վրա հիմնված երթուղիչի համար։

Երթուղիչից առաջացած DNS-ը այն դեպքն է, որը մարդկանց զարմացնում է վերջինը։ Եթե հյուրերն օգտագործում են երթուղիչը որպես իրենց լուծիչ, ապա երթուղիչի սեփական հարցումները հետևում են երթուղիչի ուղուն, այլ ոչ թե հյուրերի կանոնին, այնպես որ որոնումները կարող են դուրս գալ սովորական կապով, մինչ հավելվածի տրաֆիկը դուրս չի գալիս։ Պահեք սեգմենտը, լուծիչը և խափանման քաղաքականությունը մեկ նշումի մեջ, և հաջորդ մարդը կկարողանա ստուգել բոլոր երեքը՝ առանց դիզայնը նորից ածանցելու։