VPN шлюзінің артындағы Wi-Fi қатынау нүктесі: бір LAN сақтаңыз

Көпірленген қатынау нүктесі ме, әлде екінші маршрутталған сегмент пе? Айырмашылық мекенжайлар, DNS және туннель кімге тиесілі екенінде, ал бұл саясаттың қайда тұратынын шешеді.

Сымсыз клиенттер VPN артында отыра алады, ал қатынау нүктесі туннель туралы ештеңе білмейді. Радионы шлюздің LAN-ына көпірмен қосыңыз, мекенжайлар мен туннель шлюзде болсын, сонда Wi-Fi-дағы әрбір құрылғы бірдей саясатты мұралайды. Балама — өз шлюзі бар екінші маршрутталған сегмент — басқа істен шығу режимі бар басқа дизайн.

Екеуі шатасады, өйткені екеуі де интернет пен құрылғыларыңыздың арасына қорап қояды. Әрқайсысының иелігінде не бар екенін салыстыру таңдаудың ең жылдам жолы.

VPN-ді Wi-Fi алдына қоюдың екі жолы

Көпірленген орналасуда қатынау нүктесі кадрларды радио мен сымды сегмент арасында тасымалдайды және басқа ештеңе істемейді: бір ішкі желі, бір мекенжай органы, саясатты орындайтын бір маршрутизатор. Маршрутталған орналасуда екінші қораптың өз мекенжайлары, өз DHCP ауқымы және өз әдепкі маршруты бар, сондықтан трафик туннельге жетпей тұрып тағы бір шекарадан өтеді. Көпірленген дизайн әрбір сымсыз құрылғыны шлюз үшін жергілікті көрсетеді, сондықтан бір ережелер жиынтығы бәрін қамтиды. Маршрутталған дизайн сізге ойланатын сегмент пен саясат қателесуі мүмкін екінші орын береді.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Сымсыз құрылғылар сымды құрылғылармен бірдей туннельді қолдануы талап болса, көпірленгенді таңдаңыз. Оқшаулауға болатын сегмент керек болса немесе екінші қорап маршрутизатор ретінде бұрыннан бар болса, маршрутталғанды таңдаңыз.

Көпірленген орналасу шын мәнінде нені өзгертеді

Көпірлеу аударма қабатын және бәсекелес әдепкі шлюзді алып тастайды, ал басқару мәселесін қосады. Қатынау нүктесіне әлі де қол жеткізуге болатын мекенжай қажет, оны жеткізушінің жұмыс ағыны әдетте негізгі LAN арқылы реттейді. Оның DHCP қызметі өшірулі болуы керек, әйтпесе екі орган қайшы келетін жалдаулар береді. Шлюз туннельді, шешуші параметрлерін және туннель құлағанда не болатыны туралы шешімді сақтайды, сондықтан саясат дәл бір жерде тұрады.

Радио мұның ешқайсысын туннельден автоматты түрде мұраламайды. Ол жай ғана оны жасыратын қабаттарды қосуды тоқтатады.

Екінші маршрутталған сегмент қайда сәйкес келеді

Маршрутталған сегмент өзінің күрделілігін оның артындағы құрылғылар LAN-ның қалғанынан өзгеше қарауды қажет еткенде ақтайды. Қонақ желісі, зертхана немесе әрдайым белгілі бір ел арқылы шығуы тиіс клиенттер тобы — бұлардың бәрі жолға маршрутизатор қоюдың себептері. Бағасы — екінші мекенжай органы, үйлесімді ұстауға тиіс екінші қорғаныс қабырғасы және ондағы біреуге сегментке жету керек болса, негізгі LAN-нан қайту маршруты. Бұлар конфигурация бөлшектері емес, міндеттемелер.

Жиі кездесетін қате — маршрутталған нұсқаны кездейсоқ салу, әлі күнге дейін өз DHCP мен аудармасын іске қосып тұрған маршрутизаторды қайта пайдалану. Бұл қосарланған аударма мен ешкім бақылай алмайтын саясат тудырады.

Шлюзден емес, Wi-Fi клиентінен сынаңыз

Шлюздегі сәтті сұраныс туннельдің шлюз үшін жұмыс істейтінін дәлелдейді. Нағыз сұрақ — сымсыз клиенттің жіберілген трафигі оны қолдана ма, оны клиенттен байқау керек. Төмендегі командалар клиенттің мекенжайын, оның маршрутын және қашықтағы қызмет көретін мекенжайды тексереді.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Шлюздің LAN-ы ішіндегі мекенжай көпірдің кадрларды аудармай, өткізіп жатқанын растайды. Бірінші секірісі шлюз болатын маршрут клиенттің басқа жерден екінші әдепкі маршрут алмағанын растайды. Шығу мекенжайын тексеру нағыз сұраққа жауап береді, ал қысқа із алғашқы секірістердің күтілгенін көрсетеді. Егер клиенттің мекенжайы басқа ауқымнан келсе, бірінші күдікті — адасқан DHCP сервері.

Әр қораптың рөлін, оның мекенжайын және DHCP органын жазып қойыңыз. Үш сызықты схема жеткілікті, ол ереженің қайда жататыны туралы даулардың көбін шешеді.

Қатысты мақалалар