Wi-Fi კლიენტების იზოლაცია VPN-ის ლოკალურ წვდომასთან: რა გბლოკავთ

ორი ტელეფონი ერთსა და იმავე სასტუმრო SSID-ზე დადეთ და არც ერთი ვერ ხედავს მეორეს, თუმცა ორივე ინტერნეტს აღწევს. ერთ-ერთზე VPN კლიენტი დაამატეთ და სამი მეტრის დაშორებით მდგარი პრინტერი უხილავი რჩება, მაშინ როცა სხვა კონტინენტზე მდგარი სერვერი ping-ებს პასუხობს. გვირაბში არაფერი გატეხილი არ არის; ორი ცალკე წვდომის გადაწყვეტილება მონაწილეობს და მათგან მხოლოდ ერთია მარშრუტიზაციაზე. წვდომის წერტილი წყვეტს, შეიძლება თუ არა უსადენო კლიენტებმა ერთმანეთთან საუბარი, ხოლო VPN კლიენტი წყვეტს, რომელი დანიშნულებები გადიან გვირაბიდან. ამ ორის არევა საათობით უაზრო კონფიგურაციის ცვლილებებს იძლევა.

ორი ჭიშკარი დამოუკიდებელია

კლიენტების იზოლაცია კომუტაციის გადაწყვეტილებაა. წვდომის წერტილი იღებს კადრს ერთი დაკავშირებული სადგურიდან, უყურებს დანიშნულებას, ამჩნევს, რომ დანიშნულება იმავე ხიდზე მდგარი სხვა სადგურია, და ისვრის მას. სადგურის IP მისამართი ამ გადაწყვეტილებისთვის უმნიშვნელოა, VPN-იც ასევე.

მარშრუტიზაცია სხვა გადაწყვეტილებაა, რომელიც კლიენტზე მიიღება. VPN-ის მარშრუტების ცხრილი წყვეტს, 192.168.1.50-ისთვის განკუთვნილი პაკეტი გვირაბში შედის თუ Wi-Fi ინტერფეისიდან გადის. თუ პაკეტი Wi-Fi-დან გადის და წვდომის წერტილი კლიენტებს იზოლირებს, ის წვდომის წერტილში იღუპება. თუ პაკეტი გვირაბში შედის, წვდომის წერტილი საწყის დანიშნულებას ვერასოდეს ხედავს და ვერაფერს ვერ იზოლირებს.

რას ბლოკავს იზოლაცია ტიპურ წვდომის წერტილზე

მწარმოებლები ამას რამდენიმე სახელით აწვდიან: კლიენტების იზოლაცია, AP იზოლაცია, სადგურების იზოლაცია ან სასტუმრო ქსელი, რომელიც მას გულისხმობს. OpenWrt-ში თითოეული ინტერფეისის პარამეტრი უსადენო კონფიგურაციის შიგნით isolate-ია, როგორც აღწერილია უსადენო ქსელის დოკუმენტაციაში, და სასტუმრო SSID ჩვეულებრივ იღებს საკუთარ ხიდსა და firewall-ის ზონას. შედეგი ისაა, რომ კლიენტებს შორის unicast კადრები არ იხიდება, ამიტომ მეზობელზე ping, SMB კავშირი ან ბეჭდვის დავალება ვერ სრულდება, თუმცა ორივე მოწყობილობა სრულ სიგნალს აჩვენებს.

აღმოჩენის პროტოკოლები პირველები და ყველაზე თვალსაჩინოდ იტანჯებიან. პრინტერებისა და მედია მოწყობილობების mDNS multicast-ით მიდის 224.0.0.251-ზე, SSDP იყენებს 239.255.255.250-ს, და გადაკვეთენ თუ არა ეს კადრები ხიდს, დამოკიდებულია მწარმოებელზე და იმაზე, ჩართულია თუ არა multicast-ის unicast-ად გარდაქმნა. სიაში არმყოფი მოწყობილობა უფრო სუსტი მტკიცებულებაა, ვიდრე ცნობილ მისამართზე წარუმატებელი პირდაპირი კავშირი.

რას ცვლის VPN და რას ვერ შეცვლის

სრული გვირაბი ნაგულისხმევ მარშრუტს იღებს, ამიტომ ლოკალურ ქვექსელებს მხოლოდ მაშინ აღწევთ, თუ კლიენტი მათთვის უფრო კონკრეტულ მარშრუტს ინახავს. გაყოფილი გვირაბები პირიქით აკეთებენ და დიზაინით ინარჩუნებენ ლოკალურ წვდომას. არც ერთი პარამეტრი ვერ აიძულებს იზოლირებულ წვდომის წერტილს გადასცეს კადრი თავის ორ კლიენტს შორის, ამიტომ VPN კლიენტში ლოკალური ტრაფიკის დაშვება აუცილებელია, მაგრამ არასაკმარისი.

საპირისპირო შემთხვევა ისევე ხშირია. წვდომის წერტილი წყვილთა ტრაფიკს უშვებს, VPN კლიენტი ლოკალურ ქვექსელს გვირაბიდან გამორიცხავს, და პრინტერი მაინც არ პასუხობს, რადგან ჰოსტის firewall Wi-Fi ქსელს საჯაროდ თვლის. სამი შრე, სამი განსხვავებული ნაგულისხმევი მნიშვნელობა, და VPN-ის ჟურნალების უმეტესობაში მხოლოდ მარშრუტი ჩანს.

გაარკვიეთ, რომელი ჭიშკარია დაკეტილი

დაიწყეთ ტესტით, რომელიც VPN-ს სურათიდან ამოიღებს: ორი ჩვეულებრივი მოწყობილობა ერთსა და იმავე SSID-ზე შეაერთეთ და სცადეთ ერთიდან მეორეს მისამართით მიღწევა. თუ ეს ვერ მოხერხდა, წვდომის წერტილი იზოლირებს და ვერც ერთი VPN პარამეტრი ვერ გამოასწორებს. თუ მოხერხდა, კლიენტზე გადადით და Linux-ში გაუშვით ip route get 192.168.1.50 ან Windows-ში Find-NetRoute -RemoteIPAddress 192.168.1.50; გამომავალი ასახელებს ინტერფეისს, რომელსაც პაკეტი გამოიყენებს.

როცა მარშრუტი Wi-Fi ინტერფეისზე მიუთითებს, პაკეტი დაშიფვრის გარეშე გადის და კითხვად იქცევა, უშვებენ თუ არა ამას წვდომის წერტილი და ჰოსტის firewall. როცა მარშრუტი გვირაბზე მიუთითებს, დანიშნულება VPN სერვერზე იგზავნება, რაც არასწორია იმავე LAN-ზე მდგარი მოწყობილობისთვის და ჩვეულებრივ ნიშნავს, რომ გვირაბის დაშვებულთა სია ზედმეტად ფართოა.

პრინტერის პორტზე პირდაპირი კავშირი უკეთესი ტესტია, ვიდრე აღმოჩენის სია. Linux-ში nc -vz 192.168.1.50 9100 ან PowerShell-ში Test-NetConnection 192.168.1.50 -Port 9100 გეუბნებათ, საერთოდ მისაწვდომია თუ არა მისამართი, სანამ რომელიმე აპლიკაციის დონის დაწყვილება განხილვაში შემოვა.

აირჩიეთ გამოსწორება იმ ქსელისთვის, რომელშიც ხართ

სასტუმროს ან სასტუმრო ქსელში იზოლაცია განზრახ არის და არ უნდა სცადოთ მისი დაძლევა. ლოკალურ მოწყობილობას მიუდექით როგორც მიუწვდომელს, გამოიყენეთ VPN ჰოსტამდე მისასვლელად, რომელსაც შეუძლია ბეჭდვა ან გაზიარება, და შეწყვიტეთ SSID-ის LAN-ად მიჩნევა.

სახლში მთავარ SSID-ზე იზოლაციის გამორთვა გონივრულია, როცა მოწყობილობები თქვენია, ხოლო სასტუმრო SSID იზოლირებული რჩება. პარამეტრი წვდომის წერტილის უსადენო კონფიგურაციაში ცხოვრობს და იქ უნდა იყოს, და არა ყოველი კლიენტის firewall გამონაკლისებში.

ოფისში ჩათვალეთ, რომ წვდომის წერტილი, VLAN და ჰოსტის firewall ყველა განზრახ არის. ესკალაცია მოახდინეთ ტესტების შედეგებით და არა იზოლაციის გამორთვის თხოვნით, რადგან კლიენტების გამყოფი ქსელი ჩვეულებრივ რაღაცას იცავს.

შეამოწმეთ აპლიკაცია და არა მხოლოდ ping

წარმატებული ping გზას ამტკიცებს და არა სერვისს. პრინტერები ხშირად იღებენ ნედლ 9100-ს ან IPP-ს 631-ზე, მაგრამ უარყოფენ აღმოჩენას, ხოლო ფაილების გაზიარებას სჭირდება 445 და მომუშავე სახელების გარჩევა. დაადასტურეთ პორტი, რომელსაც აპლიკაცია იყენებს, შემდეგ კვლავ სცადეთ რეალური დავალება მოწყობილობაზე.

თქვენს ჩანაწერებში ორი შრე ცალკე შეინახეთ: რას უშვებს Wi-Fi ქსელი და რას ამისამართებს VPN. შემდეგ ჯერზე, როცა მოწყობილობა სიიდან გაქრება, ეს გაყოფა გეტყვით, სად უნდა შეხედოთ პირველად.