Titik akses Wi-Fi di belakang gateway VPN: pertahankan satu LAN

Klien nirkabel dapat berada di belakang VPN tanpa titik akses mengetahui apa pun tentang terowongan. Jembatani radio ke LAN gateway, biarkan gateway memiliki pengalamatan dan terowongan, dan setiap perangkat di Wi-Fi mewarisi kebijakan yang sama. Alternatifnya, segmen dirutekan kedua dengan gateway sendiri, adalah desain berbeda dengan mode kegagalan berbeda.

Keduanya membingungkan karena keduanya menaruh kotak di antara internet dan perangkat Anda. Membandingkan apa yang dimiliki masing-masing adalah cara tercepat untuk memilih.

Dua cara menaruh VPN di depan Wi-Fi

Dalam tata letak dijembatani, titik akses membawa frame antara radio dan segmen kabel dan tidak lebih: satu subnet, satu otoritas alamat, satu perute yang menjalankan kebijakan. Dalam tata letak dirutekan, kotak kedua memiliki alamat sendiri, cakupan DHCP sendiri, dan rute default sendiri, sehingga lalu lintas melewati batas lain sebelum mencapai terowongan. Desain dijembatani membuat setiap perangkat nirkabel tampak lokal bagi gateway, itulah sebabnya satu set aturan mencakup semuanya. Desain dirutekan memberi Anda segmen untuk dipikirkan dan tempat kedua di mana kebijakan bisa salah.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Pilih dijembatani ketika persyaratannya adalah perangkat nirkabel memakai terowongan yang sama dengan perangkat kabel. Pilih dirutekan ketika Anda menginginkan segmen yang dapat diisolasi, atau ketika kotak kedua sudah ada sebagai perute.

Apa yang sebenarnya diubah tata letak dijembatani

Penjembatanan menghapus lapisan terjemahan dan gateway default pesaing, serta menambah masalah pengelolaan. Titik akses tetap membutuhkan alamat yang bisa Anda jangkau, yang biasanya diatur alur kerja vendor melalui LAN utama. Layanan DHCP-nya harus mati, atau dua otoritas akan membagikan sewa yang bertentangan. Gateway menyimpan terowongan, pengaturan resolver, dan keputusan tentang apa yang terjadi saat terowongan putus, sehingga kebijakan hidup di tepat satu tempat.

Radio tidak mewarisi semua itu secara otomatis dari terowongan. Ia hanya berhenti menambahkan lapisan yang akan menyamarkannya.

Di mana segmen dirutekan kedua cocok

Segmen dirutekan membenarkan kerumitannya ketika perangkat di belakangnya membutuhkan perlakuan berbeda dari LAN lainnya. Jaringan tamu, laboratorium, atau sekumpulan klien yang harus selalu keluar melalui negara tertentu semuanya alasan untuk menaruh perute di jalur. Biayanya adalah otoritas alamat kedua, firewall kedua yang harus dijaga konsisten, dan rute balik dari LAN utama jika seseorang di sana perlu menjangkau segmen. Itu kewajiban, bukan detail konfigurasi.

Kesalahan umum adalah membangun versi dirutekan secara tidak sengaja, memakai ulang perute yang masih menjalankan DHCP dan terjemahannya sendiri. Itu menghasilkan terjemahan ganda dan kebijakan yang tidak bisa dilacak siapa pun.

Uji dari klien Wi-Fi, bukan dari gateway

Permintaan yang berhasil di gateway membuktikan terowongan bekerja untuk gateway. Pertanyaan sebenarnya adalah apakah lalu lintas yang diteruskan klien nirkabel memakainya, dan itu harus diamati dari klien. Perintah di bawah memeriksa alamat klien, rutenya, dan alamat yang dilihat layanan jarak jauh.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Alamat di dalam LAN gateway menegaskan bahwa jembatan meneruskan frame alih-alih menerjemahkannya. Rute yang hop pertamanya adalah gateway menegaskan klien tidak memperoleh rute default kedua dari tempat lain. Pemeriksaan alamat keluar menjawab pertanyaan sebenarnya, dan jejak pendek menunjukkan apakah hop pertama sesuai harapan. Jika alamat klien berasal dari cakupan lain, tersangka pertama adalah server DHCP yang tersesat.

Catat peran setiap kotak, alamatnya, dan otoritas DHCP. Diagram tiga garis sudah cukup, dan itu menyelesaikan sebagian besar perdebatan tentang di mana sebuah aturan berada.