Isolasi klien Wi-Fi versus akses lokal VPN: apa yang memblokir Anda

Letakkan dua ponsel pada SSID tamu yang sama dan keduanya tidak dapat melihat satu sama lain, tetapi keduanya mencapai internet. Tambahkan klien VPN pada salah satunya dan printer tiga meter jauhnya tetap tak terlihat, sementara server di benua lain menjawab ping. Tidak ada yang rusak di tunnel; ada dua keputusan akses terpisah yang terlibat, dan hanya satu di antaranya soal perutean. Titik akses memutuskan apakah klien nirkabel boleh saling berbicara, dan klien VPN memutuskan tujuan mana yang keluar melalui tunnel. Mencampur keduanya menghasilkan perubahan konfigurasi yang sia-sia berjam-jam.

Kedua gerbang itu independen

Isolasi klien adalah keputusan switching. Titik akses menerima frame dari satu stasiun yang terasosiasi, melihat tujuannya, menyadari bahwa tujuan itu stasiun lain pada bridge yang sama, lalu menjatuhkannya. Alamat IP stasiun tidak relevan bagi keputusan itu, dan VPN juga tidak.

Perutean adalah keputusan lain yang dibuat di klien. Tabel rute VPN memutuskan apakah paket menuju 192.168.1.50 masuk ke tunnel atau keluar melalui antarmuka Wi-Fi. Jika paket keluar melalui Wi-Fi dan titik akses mengisolasi klien, paket itu mati di titik akses. Jika paket masuk ke tunnel, titik akses tidak pernah melihat tujuan aslinya dan tidak dapat mengisolasi apa pun.

Apa yang diblokir isolasi pada titik akses biasa

Vendor mengirimkannya dengan beberapa nama: isolasi klien, isolasi AP, isolasi stasiun, atau jaringan tamu yang menyiratkannya. Di OpenWrt opsi per antarmuka adalah isolate di dalam konfigurasi nirkabel, seperti dijelaskan dalam dokumentasi nirkabel, dan SSID tamu biasanya mendapat bridge serta zona firewall sendiri. Efeknya, frame unicast antar klien tidak dijembatani, sehingga ping, koneksi SMB, atau tugas cetak ke tetangga gagal meski kedua perangkat menunjukkan sinyal penuh.

Protokol penemuan paling dulu dan paling terlihat menderita. mDNS untuk printer dan perangkat media berjalan lewat multicast ke 224.0.0.251, SSDP memakai 239.255.255.250, dan apakah frame itu melewati bridge bergantung pada vendor dan pada apakah konversi multicast ke unicast diaktifkan. Perangkat yang hilang dari daftar adalah bukti lebih lemah daripada koneksi langsung yang gagal ke alamat yang diketahui.

Apa yang diubah VPN, dan apa yang tidak dapat diubahnya

Tunnel penuh mengambil rute default, jadi subnet lokal hanya tercapai jika klien mempertahankan rute yang lebih spesifik untuknya. Tunnel terpisah melakukan sebaliknya dan mempertahankan akses lokal secara desain. Tak satu pun pengaturan itu dapat memaksa titik akses yang mengisolasi meneruskan frame antara dua kliennya, karena itu mengizinkan lalu lintas lokal di klien VPN perlu tetapi tidak cukup.

Kasus sebaliknya sama umumnya. Titik akses mengizinkan lalu lintas antar klien, klien VPN mengecualikan subnet lokal dari tunnel, dan printer tetap tidak menjawab karena firewall host memperlakukan jaringan Wi-Fi sebagai publik. Tiga lapisan, tiga default berbeda, dan hanya rute yang terlihat di sebagian besar log VPN.

Cari tahu gerbang mana yang tertutup

Mulailah dengan uji yang mengeluarkan VPN dari gambaran: hubungkan dua perangkat biasa ke SSID yang sama dan coba jangkau satu dari yang lain lewat alamat. Jika gagal, titik akses mengisolasi dan tidak ada pengaturan VPN yang memperbaikinya. Jika berhasil, pindah ke klien dan jalankan ip route get 192.168.1.50 di Linux atau Find-NetRoute -RemoteIPAddress 192.168.1.50 di Windows; keluarannya menyebut antarmuka yang akan dipakai paket.

Ketika rute menunjuk antarmuka Wi-Fi, paket keluar tanpa enkripsi dan pertanyaannya menjadi apakah titik akses dan firewall host mengizinkannya. Ketika rute menunjuk tunnel, tujuan dikirim ke server VPN, yang salah untuk perangkat di LAN yang sama dan biasanya berarti daftar yang diizinkan pada tunnel terlalu luas.

Koneksi langsung ke port printer adalah uji yang lebih baik daripada daftar penemuan. nc -vz 192.168.1.50 9100 di Linux atau Test-NetConnection 192.168.1.50 -Port 9100 di PowerShell memberi tahu apakah alamat itu terjangkau sama sekali, sebelum pemasangan di tingkat aplikasi masuk ke pembahasan.

Pilih perbaikan untuk jaringan tempat Anda berada

Pada jaringan hotel atau tamu, isolasi memang disengaja dan Anda tidak seharusnya berusaha mengalahkannya. Perlakukan perangkat lokal sebagai tak terjangkau, gunakan VPN untuk mencapai host yang dapat mencetak atau berbagi, dan berhenti memperlakukan SSID sebagai LAN.

Di rumah, mematikan isolasi pada SSID utama masuk akal bila perangkat milik Anda, sementara SSID tamu tetap terisolasi. Pengaturannya berada di konfigurasi nirkabel titik akses, dan di sanalah tempatnya, bukan pada pengecualian firewall di setiap klien.

Di kantor, anggap titik akses, VLAN, dan firewall host semuanya disengaja. Eskalasi dengan hasil uji alih-alih meminta isolasi dimatikan, karena jaringan yang memisahkan klien biasanya melindungi sesuatu.

Verifikasi aplikasinya, bukan hanya ping

Ping yang berhasil membuktikan jalur, bukan layanan. Printer sering menerima 9100 mentah atau IPP pada 631 tetapi menolak penemuan, dan berbagi berkas membutuhkan 445 plus resolusi nama yang bekerja. Pastikan port yang dipakai aplikasi, lalu coba lagi tugas sebenarnya di perangkat.

Pisahkan kedua lapisan dalam catatan Anda: apa yang diizinkan jaringan Wi-Fi, dan apa yang dirutekan VPN. Saat perangkat hilang dari daftar lain kali, pemisahan itu menunjukkan tempat pertama untuk diperiksa.