VPN 専用の家庭内セグメント：SSID だけでなくフォールバックを切る

ゲスト SSID を VPN に載せ、そのセグメントを VPN 専用と呼んでいます。ところがトンネルが二分間落ちると、端末は静かに通常の WAN へ戻ります。SSID の名前のどこにも、それを防ぐものはありませんでした。VPN 専用セグメントはトンネルが使えないときに何が起きるかで決まり、ネットワークのラベルで決まるわけではありません。

ラベルは約束であり、フォールバックポリシーがその執行です。

誤解：SSID が境界である

独自の転送ポリシーを持たない SSID は、単なる名前です。境界とは、独立したインターフェース、VLAN、サブネットであり、独自の DHCP スコープと独自のルールを持ちます。VLAN は、Wi-Fi の名前では与えられない転送境界を与えます。

クライアント分離も設計の一部です。セグメント上の二台の端末が互いに通信する必要がある場合も、ない場合もあり、その選択はゲストプロファイルから継承するのではなく明示すべきです。

ルールを一つ書く前に、セグメントのインターフェースとアドレス範囲を書き留めてください。その一行が、後の混乱のほとんどを防ぎます。

誤解：トンネルの経路はすべてのプロトコルをカバーする

ファームウェアのポリシーをそのセグメントに適用し、インターネット向けの通信にトンネルを使わせます。トンネルが必要とするリモート転送と変換を設定します。セグメントが本当に必要とするローカルリソースへのアクセスだけを残します。

両方のアドレスファミリーを確認してください。IPv6 がトンネルを通らない場合、ポリシー側で対処する必要があります。そうしないと、IPv6 対応端末が意図しない直接経路を見つけます。

IPv6 を有効にしたまま IPv4 だけのキルスイッチを使うのは、よくある漏えいの原因です。手元のノート PC だけでなく、IPv6 対応のクライアントで試してください。

誤解：DNS とトンネルの端点はトンネルに従う

ルーターの DNS はローカルで生成され、セグメントのポリシーではなくルーター自身のルーティングテーブルに従うことがあります。そのリゾルバーがどの経路を使うべきか、トンネルが失敗したときにどうするかを決めてください。VPN 自身の端点接続も例外です。ピアへの文書化された外側の経路が必要で、その接続をトンネルに入れると立ち上がりません。

復旧用の管理をセグメントのインターネットアクセスから分離してください。障害が起きたピアがルーターからも締め出すなら、トンネルの障害を現地訪問に変えてしまっています。そのアクセスは管理ネットワークに置き、VPN 専用セグメントには置かないでください。

実際に VPN 専用にするもの

トンネルが落ちているときは、セグメントの通常の WAN 転送をブロックしてください。ラベルを本当にするのは、SSID ではなくそのルールです。セグメント上の端末から無害な通信で試してください。

三つの確認を行います。トンネル経由の通常動作、トンネルを落とした状態での許可された障害テスト、戻ったときの復旧です。別の家庭内セグメントがその間ずっと本来の経路を保つことも確認してください。直接の例外はすべて記録してください。そうしないと、ラベルはもう覚えていない経路を隠します。

セグメント、選択したトンネル、例外の短い記録があれば、ファームウェア更新でルールの順序やリゾルバーの動作が変わった後に、具体的な確認ができます。pfSense の WireGuard クライアントのレシピは、トンネル側の参考になりますが、セグメントポリシーの代わりにはなりません。