Einangrun Wi-Fi-biðlara á móti staðbundnum VPN-aðgangi: hvað lokar fyrir þig

Settu tvö síma á sama gesta-SSID og hvorugur sér hinn, en bæði ná netinu. Bættu VPN-biðlara við annan og prentarinn þrjá metra í burtu helst ósýnilegur á meðan þjónn á annarri heimsálfu svarar ping. Ekkert er bilað í göngunum; tvær aðskildar aðgangsákvarðanir koma við sögu og aðeins önnur þeirra snýst um beiningu. Aðgangspunkturinn ákveður hvort þráðlausir biðlarar megi tala saman og VPN-biðlarinn ákveður hvaða áfangastaðir fara út um göngin. Að rugla þessu tvennu kostar klukkustundir af gagnslausum stillingabreytingum.

Hliðin tvö eru óháð

Einangrun biðlara er skiptiákvörðun. Aðgangspunkturinn tekur við ramma frá einni tengdri stöð, lítur á áfangastaðinn, tekur eftir að áfangastaðurinn er önnur stöð á sama brú og sleppir honum. IP-tala stöðvarinnar skiptir ekki máli fyrir þá ákvörðun, og VPN-ið ekki heldur.

Beining er önnur ákvörðun sem tekin er á biðlaranum. Beiningatafla VPN-sins ákveður hvort pakki fyrir 192.168.1.50 fari inn í göngin eða út um Wi-Fi-tengið. Ef pakkinn fer út um Wi-Fi og aðgangspunkturinn einangrar biðlara, deyr hann hjá aðgangspunktinum. Ef pakkinn fer inn í göngin sér aðgangspunkturinn aldrei upprunalega áfangastaðinn og getur ekki einangrað neitt.

Hvað einangrun lokar á dæmigerðum aðgangspunkti

Framleiðendur selja þetta undir nokkrum nöfnum: einangrun biðlara, AP-einangrun, stöðva-einangrun eða gestanet sem felur það í sér. Í OpenWrt er valkosturinn fyrir hvert tengi isolate inni í þráðlausu stillingunni, eins og lýst er í þráðlausu skjölunum, og gesta-SSID fær yfirleitt eigin brú og eldveggssvæði. Afleiðingin er að unicast-rammar milli biðlara eru ekki brúaðir, svo ping, SMB-tenging eða prentverk til nágranna mistekst þótt bæði tækin sýni fullt merki.

Uppgötvunarprotokoll líða fyrst og sýnilegast. mDNS fyrir prentara og margmiðlunartæki fer með multicast á 224.0.0.251, SSDP notar 239.255.255.250, og hvort þessir rammar fari yfir brúna fer eftir framleiðandanum og því hvort umbreytingu multicast í unicast hefur verið virkjuð. Tæki sem vantar á lista er veikari sönnun en misheppnuð bein tenging við þekkt netfang.

Hvað VPN-ið breytir og hvað það getur ekki breytt

Full göng taka sjálfgefnu leiðina, svo staðbundin undirnet nást aðeins ef biðlarinn heldur nákvæmari leið fyrir þau. Skipt göng gera hið gagnstæða og varðveita staðbundinn aðgang að hönnun. Hvorug stillingin getur þvingað einangrandi aðgangspunkt til að senda ramma milli tveggja biðlara sinna, þess vegna er leyfi fyrir staðbundnum umferð í VPN-biðlaranum nauðsynlegt en ekki nægilegt.

Hið gagnstæða tilvik er jafn algengt. Aðgangspunkturinn leyfir umferð milli jafningja, VPN-biðlarinn útilokar staðbundið undirnet frá göngunum, og prentarinn svarar samt ekki því eldveggur hýsingarinnar meðhöndlar Wi-Fi-netið sem opinbert. Þrjú lög, þrjú ólík sjálfgefin gildi, og aðeins leiðin er sýnileg í flestum VPN-skrám.

Finndu út hvaða hlið er lokað

Byrjaðu á prófun sem tekur VPN-ið út úr myndinni: tengdu tvö venjuleg tæki við sama SSID og reyndu að ná öðru frá hinu eftir netfangi. Ef það mistekst er aðgangspunkturinn að einangra og engin VPN-stilling lagar það. Ef það tekst skaltu fara á biðlarann og keyra ip route get 192.168.1.50 á Linux eða Find-NetRoute -RemoteIPAddress 192.168.1.50 á Windows; úttakið nefnir tengið sem pakkinn mun nota.

Þegar leiðin bendir á Wi-Fi-tengið fer pakkinn út ódulkóðaður og spurningin verður hvort aðgangspunkturinn og eldveggur hýsingarinnar leyfi það. Þegar leiðin bendir á göngin er áfangastaðurinn sendur til VPN-þjónsins, sem er rangt fyrir tæki á sama staðarneti og þýðir yfirleitt að leyfði listi ganganganna er of breiður.

Bein tenging við prentportinn er betri prófun en uppgötvunarlisti. nc -vz 192.168.1.50 9100 á Linux eða Test-NetConnection 192.168.1.50 -Port 9100 í PowerShell segir þér hvort netfangið sé yfirleitt aðgengilegt, áður en nokkur pörun á forritastigi kemur inn í umræðuna.

Veldu viðgerðina fyrir netið sem þú ert á

Á hótel- eða gestaneti er einangrun viljandi og þú ættir ekki að reyna að sigra hana. Líttu á staðbundna tækið sem óaðgengilegt, notaðu VPN-ið til að ná þjóni sem getur prentað eða deilt og hættu að líta á SSID-ið sem staðarnet.

Heima er sanngjarnt að slökkva á einangrun á aðal-SSID þegar tækin eru þín, á meðan gesta-SSID helst einangrað. Stillingin býr í þráðlausri stillingu aðgangspunktsins og á þar heima, ekki í eldveggsundantekningum á hverjum biðlara.

Á skrifstofu skaltu gera ráð fyrir að aðgangspunkturinn, VLAN-ið og eldveggur hýsingarinnar séu öll viljandi. Eskaleradu með prófunarniðurstöðum í stað þess að biðja um að slökkt sé á einangrun, því net sem aðskilur biðlara verndar yfirleitt eitthvað.

Sannreyndu forritið, ekki bara ping

Árangursríkt ping sannar leiðina, ekki þjónustuna. Prentarar taka oft við hráu 9100 eða IPP á 631 en neita uppgötvun, og skráardeiling þarf 445 auk virkrar nafnaleysingar. Staðfestu gáttina sem forritið notar og reyndu síðan raunverulega verkefnið á tækinu aftur.

Haltu lögunum tveimur aðskildum í athugasemdum þínum: hvað Wi-Fi-netið leyfir og hvað VPN-ið beinir. Næst þegar tæki hverfur af lista segir sú skipting þér hvar þú átt að líta fyrst.