Access point Wi-Fi dietro un gateway VPN: mantenere una sola LAN

Access point in bridge o secondo segmento instradato? La differenza è chi possiede l’indirizzamento, il DNS e il tunnel, e questo decide dove vive la politica.

I client wireless possono stare dietro una VPN senza che l’access point sappia nulla del tunnel. Metti in bridge la radio sulla LAN del gateway, lascia che il gateway possieda l’indirizzamento e il tunnel, e ogni dispositivo sulla Wi-Fi eredita la stessa politica. L’alternativa, un secondo segmento instradato con il proprio gateway, è un progetto diverso con una modalità di guasto diversa.

I due si confondono perché entrambi mettono una scatola tra internet e i tuoi dispositivi. Confrontare ciò che possiede ciascuno è il modo più rapido per scegliere.

Due modi per mettere la VPN davanti alla Wi-Fi

In una disposizione in bridge l’access point trasporta frame tra la radio e il segmento cablato e nient’altro: una sottorete, un’autorità di indirizzi, un router che applica la politica. In una disposizione instradata la seconda scatola ha indirizzi propri, il proprio ambito DHCP e la propria route predefinita, così il traffico attraversa un’altra frontiera prima di raggiungere il tunnel. Il progetto in bridge fa sembrare locale ogni dispositivo wireless per il gateway, ed è per questo che un solo insieme di regole li copre tutti. Il progetto instradato ti dà un segmento su cui ragionare e un secondo punto in cui la politica può andare storta.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Scegli il bridge quando il requisito è che i dispositivi wireless usino lo stesso tunnel di quelli cablati. Scegli l’instradato quando vuoi un segmento isolabile, o quando la seconda scatola esiste già come router.

Che cosa cambia davvero la disposizione in bridge

Il bridging elimina uno strato di traduzione e un gateway predefinito concorrente, e aggiunge un problema di gestione. L’access point ha ancora bisogno di un indirizzo raggiungibile, cosa che il flusso del fornitore di solito organizza tramite la LAN principale. Il suo servizio DHCP deve essere spento, altrimenti due autorità distribuiranno lease in conflitto. Il gateway conserva il tunnel, le impostazioni del resolver e la decisione su cosa succede quando il tunnel cade, così la politica vive in esattamente un posto.

La radio non eredita nulla di tutto ciò automaticamente dal tunnel. Smette solo di aggiungere strati che lo nasconderebbero.

Dove si inserisce un secondo segmento instradato

Un segmento instradato merita la sua complessità quando i dispositivi dietro di esso richiedono un trattamento diverso dal resto della LAN. Una rete ospiti, un laboratorio o un insieme di client che devono sempre uscire attraverso un paese specifico sono tutti motivi per mettere un router sul percorso. Il costo è una seconda autorità di indirizzi, un secondo firewall da mantenere coerente e una route di ritorno dalla LAN principale se qualcuno lì deve raggiungere il segmento. Sono obblighi, non dettagli di configurazione.

L’errore comune è costruire la versione instradata per caso, riutilizzando un router che esegue ancora il proprio DHCP e la propria traduzione. Questo produce doppia traduzione e una politica che nessuno può tracciare.

Prova da un client Wi-Fi, non dal gateway

Una richiesta riuscita sul gateway dimostra che il tunnel funziona per il gateway. La vera domanda è se il traffico inoltrato di un client wireless lo usi, e questo va osservato dal client. I comandi seguenti controllano l’indirizzo del client, la sua route e l’indirizzo che vede un servizio remoto.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Un indirizzo dentro la LAN del gateway conferma che il bridge lascia passare i frame invece di tradurli. Una route il cui primo salto è il gateway conferma che il client non ha acquisito una seconda route predefinita da altrove. Il controllo dell’indirizzo di uscita risponde alla domanda reale, e la traccia breve mostra se i primi salti sono quelli attesi. Se l’indirizzo del client proviene da un altro ambito, il primo sospetto è un server DHCP smarrito.

Annota il ruolo di ogni scatola, il suo indirizzo e l’autorità DHCP. Uno schema a tre linee basta, e risolve la maggior parte delle discussioni su dove appartiene una regola.

Articoli correlati