Միայն VPN տնային սեգմենտ՝ անջատեք պահուստային ուղին, ոչ միայն SSID-ը

Դուք հյուրի SSID-ը դնում եք VPN-ի վրա և սեգմենտը կոչում միայն-VPN։ Հետո թունելը երկու րոպե ընկնում է, և սարքերը հանգիստ վերադառնում են սովորական WAN։ SSID-ի անվան մեջ ոչինչ դա չկանխեց։ Միայն-VPN սեգմենտը սահմանվում է նրանով, թե ինչ է լինում, երբ թունելը հասանելի չէ, այլ ոչ թե ցանցի պիտակով։

Պիտակը խոստում է, իսկ պահուստային քաղաքականությունը՝ կատարում։

Առասպել՝ SSID-ն է սահմանը

Առանց սեփական վերափոխանցման քաղաքականության SSID-ն ընդամենը անուն է։ Սահմանը առանձին ինտերֆեյս է, VLAN կամ ենթացանց՝ իր DHCP տիրույթով և իր կանոններով։ VLAN-ն տալիս է վերափոխանցման սահման, որը Wi-Fi անունը չի կարող տալ։

Հաճախորդների մեկուսացումը նույնպես դիզայնի մաս է։ Սեգմենտի երկու սարքերին կարող է պետք լինել խոսել միմյանց հետ, կամ գուցե ոչ, և այդ ընտրությունը պետք է լինի բացահայտ, այլ ոչ թե ժառանգված հյուրի պրոֆիլից։

Գրեք սեգմենտի ինտերֆեյսը և հասցեների տիրույթը, նախքան մեկ կանոն գրելը։ Այդ մեկ տողը կանխում է հետագա շփոթության մեծ մասը։

Առասպել՝ թունելի երթուղին ծածկում է բոլոր արձանագրությունները

Կիրառեք ֆիրմվերի քաղաքականությունը այդ սեգմենտի վրա, որպեսզի նրա ինտերնետ ուղղված երթևեկությունն օգտագործի թունելը։ Կարգավորեք հեռավոր վերափոխանցումը և թարգմանությունը, որոնք պահանջում է թունելը։ Պահպանեք միայն այն տեղական ռեսուրսների հասանելիությունը, որն իսկապես անհրաժեշտ է սեգմենտին։

Ստուգեք հասցեների երկու ընտանիքները։ Եթե IPv6-ը չի փոխանցվում թունելով, քաղաքականությունը պետք է զբաղվի դրանով, այլապես IPv6-ունակ սարքը կգտնի ուղիղ երթուղի, որը դուք չէիք նախատեսել։

Միայն IPv4-ի համար նախատեսված անջատիչը՝ միացված IPv6-ով, արտահոսքի սովորական միջոց է։ Փորձարկեք IPv6-ունակ հաճախորդով, ոչ միայն ձեռքի տակ եղած նոթբուքով։

Առասպել՝ DNS-ը և թունելի վերջնակետը հետևում են թունելին

Երթուղիչի DNS-ը կարող է ստեղծվել տեղում և հետևել երթուղիչի սեփական երթուղային աղյուսակին, այլ ոչ թե սեգմենտի քաղաքականությանը։ Որոշեք, թե որ ուղին պետք է օգտագործի այդ լուծիչը և ինչ է անում, երբ թունելը ձախողվում է։ VPN-ի սեփական վերջնակետային կապը ևս մեկ բացառություն է, այն պահանջում է փաստաթղթավորված արտաքին երթուղի դեպի զուգընկերը։ Ուղղեք այդ կապը թունելի մեջ, և այն չի կարող բարձրանալ։

Պահեք վերականգնման կառավարումը սեգմենտի ինտերնետ հասանելիությունից առանձին։ Եթե ձախողված զուգընկերը նաև կողպում է ձեզ երթուղիչից դուրս, դուք թունելի ընդհատումը վերածել եք տեղում այցի։ Պահեք այդ հասանելիությունը կառավարման ցանցում, ոչ թե միայն-VPN սեգմենտում։

Ինչն է իրականում այն դարձնում միայն-VPN

Արգելափակեք սովորական WAN վերափոխանցումը սեգմենտի համար, երբ թունելը ներքևում է։ Հենց այդ կանոնը, ոչ թե SSID-ը, պիտակը դարձնում է ճշմարիտ։ Փորձարկեք այն անվնաս երթևեկությամբ սեգմենտի սարքից։

Կատարեք երեք ստուգում՝ նորմալ աշխատանք թունելով, թույլատրված ձախողման փորձարկումը՝ թունելը ներքևում, և վերականգնումը, երբ այն վերադառնում է։ Հաստատեք, որ մեկ այլ տնային սեգմենտ ամբողջ ընթացքում պահպանում է իր նախատեսված երթուղին։ Փաստաթղթավորեք ցանկացած ուղիղ բացառություն, այլապես պիտակը թաքցնում է ուղիներ, որոնք այլևս չեք հիշում։

Սեգմենտի, ընտրված թունելի և բացառությունների կարճ գրառումը ձեզ կոնկրետ ստուգումներ է տալիս այն բանից հետո, երբ ֆիրմվերի թարմացումը փոխի կանոնների հերթականությունը կամ լուծիչի վարքը։ pfSense-ի WireGuard հաճախորդի բաղադրատոմսը օգտակար հղում է թունելի կողմի համար, ոչ թե սեգմենտի քաղաքականության փոխարինում։