Segmen rumah khusus VPN: matikan jalur cadangan, bukan hanya SSID

Anda menaruh SSID tamu di VPN dan menyebut segmennya khusus VPN. Lalu terowongan putus selama dua menit dan perangkat diam-diam kembali ke WAN biasa. Tidak ada apa pun di nama SSID yang mencegahnya. Segmen khusus VPN ditentukan oleh apa yang terjadi saat terowongan tidak tersedia, bukan oleh label jaringan.

Label adalah janji; kebijakan cadangan adalah penegakannya.

Mitos: SSID adalah batasnya

SSID tanpa kebijakan penerusan sendiri hanyalah nama. Batasnya adalah antarmuka, VLAN, atau subnet terpisah, dengan cakupan DHCP sendiri dan aturannya sendiri. VLAN memberi Anda batas penerusan yang tidak bisa diberikan nama Wi-Fi.

Isolasi klien juga termasuk dalam desain. Dua perangkat di segmen mungkin perlu saling berbicara, atau mungkin tidak, dan pilihan itu harus eksplisit alih-alih diwarisi dari profil tamu.

Tuliskan antarmuka dan rentang alamat segmen sebelum Anda menulis satu aturan pun. Satu baris itu mencegah sebagian besar kebingungan nanti.

Mitos: rute terowongan mencakup setiap protokol

Terapkan kebijakan firmware ke segmen itu agar lalu lintasnya ke internet memakai terowongan. Konfigurasikan penerusan dan penerjemahan jarak jauh yang dibutuhkan terowongan. Pertahankan hanya akses sumber daya lokal yang benar-benar dibutuhkan segmen.

Periksa kedua keluarga alamat. Jika IPv6 tidak dibawa melalui terowongan, kebijakan harus menanganinya, atau perangkat yang mendukung IPv6 akan menemukan rute langsung yang tidak Anda maksudkan.

Sakelar penghenti hanya IPv4 dengan IPv6 aktif adalah cara umum untuk bocor. Uji dengan klien yang mendukung IPv6, bukan hanya dengan laptop yang ada di tangan Anda.

Mitos: DNS dan titik akhir terowongan mengikuti terowongan

DNS router dapat dibuat secara lokal dan mengikuti tabel perutean router sendiri, bukan kebijakan segmen. Putuskan jalur mana yang harus dipakai penyelesai itu dan apa yang dilakukannya saat terowongan gagal. Koneksi titik akhir VPN sendiri adalah pengecualian lain: ia membutuhkan rute luar yang terdokumentasi ke rekan. Arahkan koneksi itu ke dalam terowongan dan ia tidak akan bisa bangkit.

Pisahkan administrasi pemulihan dari akses internet segmen. Jika rekan yang gagal juga mengunci Anda dari router, Anda telah mengubah pemadaman terowongan menjadi kunjungan ke lokasi. Pertahankan akses itu di jaringan manajemen, bukan di segmen khusus VPN.

Apa yang benar-benar membuatnya khusus VPN

Blokir penerusan WAN biasa untuk segmen setiap kali terowongan mati. Aturan itulah, bukan SSID, yang membuat labelnya benar. Ujilah dengan lalu lintas tidak berbahaya dari perangkat di segmen.

Lakukan tiga pemeriksaan: operasi normal melalui terowongan, uji kegagalan yang diizinkan dengan terowongan mati, dan pemulihan saat terowongan kembali. Pastikan segmen rumah lain tetap mempertahankan rute yang dimaksudkan sepanjang waktu. Dokumentasikan pengecualian langsung apa pun, atau label itu menyembunyikan jalur yang tidak lagi Anda ingat.

Catatan singkat tentang segmen, terowongan yang dipilih, dan pengecualian memberi Anda pemeriksaan spesifik setelah pembaruan firmware mengubah urutan aturan atau perilaku penyelesai. Resep klien WireGuard pfSense adalah referensi berguna untuk sisi terowongan, bukan pengganti kebijakan segmen.