Қонақ Wi-Fi негізгі маршрутты пайдалануды жалғастыруда: оған өз шығу жолын беріңіз

Сіз қонақ желісін құрдыңыз, оған маршрут қостыңыз, бірақ қонақтар әлі де әдеттегі интернет байланысыңыз арқылы шығып жатыр. Туннель жұмыс істеп тұр, негізгі LAN жұмыс істейді, қонақ құрылғылары сіз берген ауқымдағы мекенжайды хабарлайды, сондықтан бірдеңе сынғандай көрінбейді. Әдетте жетіспейтіні маршрут емес, таңдаушы: маршрутизатор пакеттің қай интерфейстен келгенін ескермес бұрын жолды шешеді, және бірдеңе қонақ трафигіне анық сәйкес келмесе, ол трафик әдепкі мәнді мұра етеді. Шешім — сегмент, саясат ережесі және жауап жолы, осы тәртіппен.

Симптом: қонақтар әлі де WAN арқылы шығады

Белгі — шығу мекенжайы. Туннель арқылы интернетке жететін қонақ құрылғысы туннель провайдерінің мекенжайын хабарлайды, ал әдепкіні мұра еткен құрылғы әдеттегі байланысыңызды хабарлайды. Қонақ құрылғысы мен негізгі LAN құрылғысын қатар салыстырыңыз, өйткені қызықты жағдай — олар сіз конфигурациялағаннан өзгеше болып, бір-бірімен сәйкес келгенде.

Екінші белгі — қонақтар шолып жүргенде туннель интерфейсінде ешқандай трафиктің болмауы. Егер есептегіштер қозғалмаса, саясат ешқашан қолданылмаған, және туннельдің өзін реттеу көмектесе алмайды.

1-қадам: нақты сегмент, тек атау емес

SSID атауы оқшаулау жасамайды. Қонақ желісі өз интерфейсінде, VLAN-да немесе көпірде аяқталатынын және мекенжай ауқымы сенімді LAN-нан өзгеше екенін тексеріңіз. Көптеген тұтынушылық кіру нүктелерінде қонақ SSID басқаның бәрімен бір сегментке көпірленеді, бұл түзетілмейінше осы жұмыстың қалғанын мүмкін емес етеді.

Содан кейін қонақ ауқымын және оның DHCP серверін растаңыз, ал шешуші параметрлерін бүкіл маршрутизаторға емес, сол сегментке байланыстырып ұстаңыз. Тек брандмауэр ережесіндегі түсініктеме ретінде ғана бар қонақ ішкі желісі сегмент емес, және маршрутизаторда сәйкестендіретін интерфейс болмайды.

VPN конфигурациялауды жеңілдету үшін қонақтарды негізгі LAN-ға көпірлемеңіз. Бұл қалаған оқшаулауыңызды маршруттау қысқартуына айырбастайды, және қонақ желісінің принтер мен NAS-қа қатынауға ие болуының әдеттегі себебі осы.

2-қадам: туннельді көз бойынша таңдаңыз

Маршруттау кестелері межелі орын бойынша таңдалады, сондықтан «0.0.0.0/0-ді туннельге жібер» ережесі бәріне қолданылады. Саясаттық маршруттау екінші өлшемді қосады: кестені көз мекенжайы бойынша таңдаңыз. Linux-тегі маршрутизаторда бұл қосымша ереже және бөлек кесте, ал рет маңызды, өйткені бірінші сәйкес келген ереже жеңеді:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Соңғы команда сұраққа тікелей жауап береді: бұл көз осы межелі орынға қай интерфейсті пайдаланады. Оны өзгеріске дейін және кейін іске қосыңыз, сонда браузерге қол тигізбей-ақ саясаттың күшіне енгенін білесіз.

Маршрутизатор прошивкаларының көбісі бір нәрсені интерфейс ережесі немесе көзге негізделген шлюз таңдауы ретінде білдіреді. Платформаңыз қандай синтаксис қолданса да, принцип бірдей: кіріс интерфейсіне немесе көз префиксіне сәйкестендіріңіз, содан кейін маршрутты тек сол сәйкестік үшін қайта анықтаңыз. Межелі орын бойынша сәйкестендірілген ереже қонақты үй құрылғысынан ажырата алмайды.

3-қадам: жауап жолы және трансляция

Туннельден шыққан пакет қайтуы керек. Не туннель серіктесі қонақ префиксіне қайту жолын біледі, не маршрутизатор қонақ көзін туннель мекенжайына аударады. Біреуін таңдап жазып қойыңыз, өйткені ақау режимдері әртүрлі көрінеді: қайту жолы болмаса, байланыс орнатылады да, ешқашан жауап бермейді, ал трансляция болмаса, көбінесе ештеңе шықпайды.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Трансляцияны таңдасаңыз, серіктес енді әр қонақ үшін бір мекенжайды көретінін есте сақтаңыз, сондықтан алыс ұштағы әр клиентке арналған кез келген саясат жоғалады. Мекенжайларды сақтасаңыз, екі ұшқа да өз маршруттауы мен саясатында қонақ префиксі қажет, бұл көбірек жұмыс және болжамдырақ.

IPv6-ға өз ережесі қажет. IPv4 үшін жазылған саясат екінші отбасын қамтымайды, ал жұмыс істеп тұрған IPv6-сы бар қонақ құрылғысы оны қуана пайдаланады, ал сіздің мұқият маршрутталған IPv4 жолыңыз бос тұрады. Екі отбасын да маршруттаңыз немесе қонақ сегментінде IPv6-ны өшіріңіз, бірақ жазған біріктірілген ереже құрылғының нақты не істейтінін қамтиды деп ойламаңыз. Екі отбасы да қосылған клиентпен сынаңыз, өйткені дизайн дәл осы жағдайға төтеп беруі керек. IPv6-ны қалайтын ноутбук тек IPv4 сынағында дұрыс көрінеді, ал нақтысында ағып кетеді.

Оқшаулауды сынаңыз, тек шолуды емес

Шолу шығу жолының өзгергенін дәлелдейді. Ол сегменттің оқшауланғанын дәлелдемейді, ал оқшаулау — қонақ желісінің бар болу себебі. Қонақ құрылғысынан маршрутизатордың әкімшілік интерфейсіне, сенімді LAN хостына және бас тартылуы тиіс қызметке жетуге тырысыңыз; үшеуі де сәтсіз болуы керек, ал сәтсіздік ешкім түсіндіре алмайтын уақыт шегі емес, саясат шешімі болуы керек.

Содан кейін негізгі LAN құрылғысын сынап, оның шығуы өзгермегенін растаңыз. Бұл дизайн жиі тудыратын регрессия: қонақтарға арналған кең ереже сәйкестік межелі орын бойынша жазылғандықтан барлық интерфейске қолданылады.

Соңында, туннель өшкенде не болатынын шешіңіз. Қонақтар не интернетсіз қалады, не сіз мақұлдаған жолға қайтады, және мұны шешусіз қалдыру әдеттегі байланысқа үнсіз қайтуды білдіреді, бұл дәл қонақ саясаты болдырмауға тиіс ағып кету. Интернет трафигін маршруттау рецептісі pfSense негізіндегі маршрутизатор үшін сол жол таңдауынан өтеді.

Маршрутизатордан шыққан DNS — адамдарды соңында таңқалдыратын жағдай. Егер қонақтар маршрутизаторды шешуші ретінде пайдаланса, маршрутизатордың өз сұраулары қонақ ережесіне емес, маршрутизатордың маршрутына ілеседі, сондықтан іздеулер қолданба трафигі шықпаса да әдеттегі байланыстан шығуы мүмкін. Сегментті, шешушіні және ақау саясатын бір жазбада ұстаңыз, сонда келесі адам дизайнды қайта шығармай-ақ үшеуін тексере алады.