მხოლოდ VPN სახლის სეგმენტი: გამორთეთ სარეზერვო გზა, არა მხოლოდ SSID

სტუმრის SSID-ს VPN-ზე ათავსებთ და სეგმენტს მხოლოდ-VPN-ს უწოდებთ. შემდეგ გვირაბი ორი წუთით ვარდება და მოწყობილობები ჩუმად უბრუნდებიან ჩვეულებრივ WAN-ს. SSID-ის სახელში არაფერმა არ შეუშალა ხელი. მხოლოდ-VPN სეგმენტი განისაზღვრება იმით, თუ რა ხდება მაშინ, როცა გვირაბი მიუწვდომელია, და არა ქსელის ეტიკეტით.

ეტიკეტი დაპირებაა; სარეზერვო პოლიტიკა კი მისი აღსრულება.

მითი: SSID არის საზღვარი

SSID საკუთარი გადამისამართების პოლიტიკის გარეშე მხოლოდ სახელია. საზღვარი არის ცალკე ინტერფეისი, VLAN ან ქვექსელი, საკუთარი DHCP დიაპაზონითა და საკუთარი წესებით. VLAN გაძლევთ გადამისამართების საზღვარს, რომელსაც Wi-Fi სახელი ვერ მოგცემთ.

კლიენტების იზოლაციაც დიზაინის ნაწილია. სეგმენტის ორ მოწყობილობას შეიძლება დასჭირდეს ერთმანეთთან საუბარი, ან შეიძლება არა, და ეს არჩევანი უნდა იყოს გამოკვეთილი და არა სტუმრის პროფილიდან მემკვიდრეობით მიღებული.

ჩაწერეთ სეგმენტის ინტერფეისი და მისამართების დიაპაზონი, სანამ ერთ წესს დაწერთ. ეს ერთი ხაზი ხელს უშლის შემდგომი დაბნეულობის უმეტეს ნაწილს.

მითი: გვირაბის მარშრუტი ყველა პროტოკოლს ფარავს

გამოიყენეთ firmware-ის პოლიტიკა ამ სეგმენტზე, რათა მისი ინტერნეტისკენ მიმავალი ტრაფიკი გვირაბს გამოიყენებდეს. კონფიგურაცია გაუკეთეთ დისტანციურ გადამისამართებასა და თარგმანს, რომელსაც გვირაბი მოითხოვს. შეინარჩუნეთ მხოლოდ იმ ლოკალურ რესურსებზე წვდომა, რაც სეგმენტს ნამდვილად სჭირდება.

შეამოწმეთ მისამართების ორივე ოჯახი. თუ IPv6 გვირაბში არ გადაეცემა, პოლიტიკამ უნდა გაუმკლავდეს, თორემ IPv6-ის მხარდამჭერი მოწყობილობა იპოვის პირდაპირ მარშრუტს, რომელიც არ გიგულისხმიათ.

მხოლოდ IPv4-ისთვის განკუთვნილი ჩამრთველი ჩართული IPv6-ით გაჟონვის გავრცელებული გზაა. შეამოწმეთ IPv6-ის მხარდამჭერი კლიენტით და არა მხოლოდ ხელთ არსებული ლეპტოპით.

მითი: DNS და გვირაბის საბოლოო წერტილი გვირაბს მიჰყვება

როუტერის DNS შეიძლება ლოკალურად შეიქმნას და მიჰყვეს როუტერის საკუთარ მარშრუტიზაციის ცხრილს და არა სეგმენტის პოლიტიკას. გადაწყვიტეთ, რომელი გზა უნდა გამოიყენოს ამ გამხსნელმა და რას აკეთებს ის, როცა გვირაბი ვარდება. VPN-ის საკუთარი საბოლოო წერტილის კავშირი კიდევ ერთი გამონაკლისია: მას სჭირდება დოკუმენტირებული გარე მარშრუტი პარტნიორამდე. მიმართეთ ეს კავშირი გვირაბში და ის ვერ ამოვა.

შეინახეთ აღდგენის ადმინისტრირება სეგმენტის ინტერნეტ წვდომისგან ცალკე. თუ წარუმატებელი პარტნიორი როუტერიდანაც გკეტავთ, თქვენ გვირაბის შეფერხება ადგილზე ვიზიტად აქციეთ. შეინახეთ ეს წვდომა მართვის ქსელში და არა მხოლოდ-VPN სეგმენტში.

რა ხდის მას ნამდვილად მხოლოდ-VPN-ად

დაბლოკეთ სეგმენტის ჩვეულებრივი WAN გადამისამართება ყოველ ჯერზე, როცა გვირაბი ქვემოთაა. სწორედ ეს წესი და არა SSID ხდის ეტიკეტს ჭეშმარიტს. შეამოწმეთ ის უწყინარი ტრაფიკით სეგმენტის მოწყობილობიდან.

ჩაატარეთ სამი შემოწმება: ნორმალური მუშაობა გვირაბით, დაშვებული წარუმატებლობის ტესტი გვირაბის ქვემოთ ყოფნისას და აღდგენა, როცა ის ბრუნდება. დაადასტურეთ, რომ სხვა სახლის სეგმენტი მთელი დროის განმავლობაში ინარჩუნებს საკუთარ განზრახ მარშრუტს. დაადგინეთ ნებისმიერი პირდაპირი გამონაკლისი, თორემ ეტიკეტი მალავს გზებს, რომლებიც აღარ გახსოვთ.

სეგმენტის, არჩეული გვირაბისა და გამონაკლისების მოკლე ჩანაწერი გაძლევთ კონკრეტულ შემოწმებებს მას შემდეგ, რაც firmware-ის განახლება შეცვლის წესების რიგს ან გამხსნელის ქცევას. pfSense-ის WireGuard კლიენტის რეცეპტი სასარგებლო ცნობარია გვირაბის მხარისთვის და არა სეგმენტის პოლიტიკის შემცვლელი.