Gestaviðmótið heldur áfram að nota aðalleiðina: gefðu því sína eigin útleið

Þú bjóst til gestanet, bættir við leið fyrir það, og gestirnir fara samt út um venjulega internetstengingu þína. Göngin eru uppi, aðal-LAN virkar, og gesttækin tilkynna heimilisfang á bilinu sem þú úthlutaðir, svo ekkert lítur út fyrir að vera bilað. Það sem yfirleitt vantar er ekki leið heldur valari: beinin ákveður slóðina áður en hann tekur tillit til þess hvaða tengi pakkinn kom inn á, og nema eitthvað passi beinlínis við gestumferðina, erfar sú umferð sjálfgefið gildi. Lagfæringin er sundurhluti, stefnuregla og svarleið, í þeirri röð.

Einkennið: gestir fara enn út um WAN

Vísbendingin er útleiðarheimilisfangið. Gesttæki sem nær internetinu í gegnum göngin tilkynnir heimilisfang gönguveitandans, og það sem erfði sjálfgefið gildi tilkynnir venjulegu tengingu þína. Berðu saman gesttæki og aðal-LAN tæki hlið við hlið, því áhugaverða tilfellið er þegar þau eru frábrugðin því sem þú stilltir og passi hvort við annað.

Önnur vísbending er skortur á allri umferð á tengi ganganna meðan gestir vafra. Ef teljararnir hreyfast ekki var stefnunni aldrei beitt, og að stilla göngin sjálf getur ekki hjálpað.

Skref 1: raunverulegur sundurhluti, ekki bara nafn

SSID nafn skapar ekki einangrun. Athugaðu að gestanetið endi á eigin tengi, VLAN eða brú, og að heimilisfangabilið sé frábrugðið traustu LANi. Á mörgum neytenda aðgangsstöðvum er gesta-SSID brúað inn í sama sundurhlutann og allt annað, sem gerir restina af þessu verki ómögulega þar til það er leiðrétt.

Staðfestu síðan gestabilið og DHCP þjóninn þess, og haltu leysir stillingunum tengdum þeim sundurhluta frekar en allri beininu. Gestaundirnet sem er aðeins til sem athugasemd í eldveggjarreglu er ekki sundurhluti, og beinin mun ekki hafa neitt tengi til að passa við.

Ekki brúa gesti inn í aðal-LAN til að gera VPN auðveldara að stilla. Það skiptir á einangruninni sem þú vildir fyrir styttri leið í leiðsögn, og það er venjulega ástæðan fyrir því að gestanet lendir með aðgang að prentaranum og NAS.

Skref 2: veldu göngin eftir uppruna

Leiðartöflur eru valdar eftir áfangastað, svo regla sem segir «sendu 0.0.0.0/0 í göngin» gildir fyrir alla. Stefnumiðuð leiðsögn bætir við annarri vídd: veldu töfluna eftir upprunafangi. Á Linux byggðri beini er það viðbótarregla auk sérstakrar töflu, og röðin skiptir máli því fyrsta reglan sem passar vinnur:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Síðasta skipunin svarar spurningunni beint: hvaða tengi mun þessi uppruni nota fyrir þennan áfangastað. Keyrðu hana fyrir og eftir breytinguna og þú veist hvort stefnan tók gildi án þess að snerta vafra.

Flest beinafastbúnaður lýsir sama hlutnum sem tengisreglu eða upprunabyggðri gáttarvali. Hvaða setningafræði sem vettvangurinn þinn notar er meginreglan sú sama: passið við inngangstengið eða upprunaforskeytið, og hnekkir síðan leiðinni aðeins fyrir þá samsvörun. Regla sem passar eftir áfangastað getur ekki greint gest frá heimilistæki.

Skref 3: svarleiðin og þýðingin

Pakkinn sem fer út um göngin verður að koma til baka. Annaðhvort þekkir göngufélaginn leið til baka að gestaforskeytinu, eða beinin þýðir gestaupprunann í heimilisfang ganganna. Veldu eitt og skrifaðu það niður, því bilanatilfellin líta öðruvísi út: vantar svarleið gefur tengingu sem kemst á og svarar aldrei, en vantar þýðingu gefur oft ekkert yfirhöfuð.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Ef þú velur þýðinguna skaltu muna að félaginn sér nú eitt heimilisfang fyrir hvern gest, svo öll stefna á hvern biðlara í fjarlæga endanum hverfur. Ef þú varðveitir heimilisföngin í staðinn þurfa báðir endar gestaforskeytið í leiðsögn sinni og stefnu, sem er meiri vinna og fyrirsjáanlegri.

IPv6 þarf sína eigin reglu. Stefna sem skrifuð er fyrir IPv4 nær ekki yfir hina fjölskylduna, og gesttæki með virkt IPv6 mun glaðlega nota hana á meðan vandlega leiðsagða IPv4 slóðin þín liggur aðgerðalaus. Leiðsagðu báðar fjölskyldur eða slökktu á IPv6 á gestasundurhlutanum, en ekki gera ráð fyrir að samsetta reglan sem þú skrifaðir nái yfir það sem tækið gerir í raun. Prófaðu með biðlara sem hefur báðar fjölskyldur virkar, því það er tilfellið sem hönnunin verður að standa af sér. Fartölva sem kýs IPv6 virðist rétt í IPv4 eingöngu prófi og lekur í því raunverulega.

Prófaðu einangrun, ekki bara vafrun

Vafrun sannar að útleiðin breyttist. Hún sannar ekki að sundurhlutinn sé einangraður, og einangrunin er ástæðan fyrir því að gestanetið er til. Frá gesttæki skaltu reyna að ná í stjórnunartengi beininnar, hýsil í traustu LANi og þjónustu sem á að hafna; allir þrír ættu að mistakast, og mistakið ætti að vera stefnuákvörðun frekar en tímamörk sem enginn getur útskýrt.

Prófaðu síðan aðal-LAN tæki og staðfestu að útleið þess breyttist ekki. Það er afturförin sem þessi hönnun veldur oftast: breið regla ætluð gestum, beitt á hvert tengi því samsvörunin var skrifuð eftir áfangastað.

Ákveddu að lokum hvað gerist þegar göngin eru niðri. Gestir fá annaðhvort ekkert internet eða falla aftur á slóð sem þú samþykkir, og að láta það óákveðið þýðir hljóðláta afturför í venjulegu tenginguna, sem er einmitt lekurinn sem gestastefnan átti að koma í veg fyrir. Uppskriftin að leiðsögn internetumferðar fer í gegnum sömu slóðarval fyrir pfSense byggða beini.

DNS sem kemur frá beininni er tilfellið sem kemur fólki síðast á óvart. Ef gestir nota beinina sem leysir sinn fylgja fyrirspurnir beininnar sjálfrar leið beininnar frekar en gestareglunni, svo leitir geta farið út um venjulegu tenginguna á meðan forritsumferðin gerir það ekki. Haltu sundurhlutanum, leysinum og bilanastefnunni í einni athugasemd, og næsta manneskja getur athugað alla þrjá án þess að leiða hönnunina aftur út.