Segmento domestico solo VPN: chiudi il percorso di riserva, non solo l'SSID

Metti l'SSID ospiti sulla VPN e chiami il segmento solo VPN. Poi il tunnel cade per due minuti e i dispositivi tornano silenziosamente sulla WAN normale. Nulla nel nome dell'SSID lo ha impedito. Un segmento solo VPN si definisce per ciò che accade quando il tunnel non è disponibile, non per l'etichetta della rete.

L'etichetta è una promessa; la politica di riserva è l'applicazione.

Mito: l'SSID è il confine

Un SSID senza una propria politica di inoltro è solo un nome. Il confine è un'interfaccia, VLAN o sottorete separata, con il proprio ambito DHCP e le proprie regole. Una VLAN ti dà un confine di inoltro che un nome Wi-Fi non può dare.

Anche l'isolamento dei client fa parte del progetto. Due dispositivi del segmento possono aver bisogno di parlarsi, o no, e quella scelta dovrebbe essere esplicita invece di essere ereditata da un profilo ospiti.

Annota l'interfaccia e l'intervallo di indirizzi del segmento prima di scrivere una sola regola. Quella riga evita la maggior parte della confusione successiva.

Mito: la rotta del tunnel copre ogni protocollo

Applica la politica del firmware a quel segmento in modo che il suo traffico verso Internet usi il tunnel. Configura l'inoltro e la traduzione remoti che il tunnel richiede. Mantieni solo l'accesso alle risorse locali che il segmento richiede davvero.

Controlla entrambe le famiglie di indirizzi. Se IPv6 non viene trasportato dal tunnel, la politica deve gestirlo, altrimenti un dispositivo compatibile IPv6 troverà una rotta diretta che non volevi.

Un interruttore di emergenza solo IPv4 con IPv6 attivo è un modo comune di perdere dati. Prova con un client compatibile IPv6, non solo con il portatile che hai a portata di mano.

Mito: il DNS e l'endpoint del tunnel seguono il tunnel

Il DNS del router può essere generato localmente e seguire la tabella di routing del router stesso, non la politica del segmento. Decidi quale percorso deve usare quel resolver e cosa fa quando il tunnel fallisce. La connessione dell'endpoint della VPN è un'altra eccezione: ha bisogno della rotta esterna documentata verso il peer. Instrada quella connessione nel tunnel e non potrà salire.

Tieni l'amministrazione del ripristino separata dall'accesso a Internet del segmento. Se un peer guasto ti chiude fuori anche dal router, hai trasformato un'interruzione del tunnel in una visita in loco. Tieni quell'accesso su una rete di gestione, non sul segmento solo VPN.

Cosa lo rende davvero solo VPN

Blocca l'inoltro normale verso la WAN per il segmento ogni volta che il tunnel è giù. È quella regola, non l'SSID, a rendere vera l'etichetta. Provala con traffico innocuo da un dispositivo del segmento.

Esegui tre controlli: funzionamento normale attraverso il tunnel, il test di guasto consentito con il tunnel giù e il ripristino quando torna. Conferma che un altro segmento della casa mantenga la propria rotta prevista per tutta la durata. Documenta qualsiasi eccezione diretta, altrimenti l'etichetta nasconde percorsi che non ricordi più.

Un breve registro del segmento, del tunnel scelto e delle eccezioni ti dà controlli specifici dopo che un aggiornamento del firmware cambia l'ordine delle regole o il comportamento del resolver. La guida al client WireGuard per pfSense è un riferimento utile per il lato tunnel, non un sostituto della politica del segmento.