Wi-Fi клиенттерін оқшаулау және VPN жергілікті қатынасы: сізді не бөгейді

Бір қонақ SSID-ге екі телефонды қойыңыз: ешқайсысы бірін-бірі көрмейді, бірақ екеуі де интернетке шығады. Олардың біріне VPN клиентін қосыңыз, үш метр жердегі принтер көрінбей қалады, ал басқа құрлықтағы сервер ping-ге жауап береді. Туннельде ештеңе бұзылмаған; екі бөлек қатынас шешімі қатысады және олардың тек біреуі маршруттауға қатысты. Қатынас нүктесі сымсыз клиенттер бір-бірімен сөйлесе алатынын шешеді, ал VPN клиенті қай тағайындаулар туннельден шығатынын шешеді. Осы екеуін шатастыру сағаттарға созылатын пайдасыз конфигурация өзгерістерін береді.

Екі қақпа тәуелсіз

Клиенттерді оқшаулау — коммутация шешімі. Қатынас нүктесі бір қосылған станциядан кадр қабылдайды, тағайындауға қарайды, тағайындаудың сол көпірдегі басқа станция екенін байқайды және оны тастайды. Станцияның IP мекенжайы бұл шешімге қатыссыз, VPN де солай.

Маршруттау — клиентте қабылданатын басқа шешім. VPN маршрут кестесі 192.168.1.50 мекенжайына арналған пакеттің туннельге кіретінін немесе Wi-Fi интерфейсінен шығатынын анықтайды. Пакет Wi-Fi арқылы шықса және қатынас нүктесі клиенттерді оқшауласа, ол қатынас нүктесінде өледі. Пакет туннельге кірсе, қатынас нүктесі бастапқы тағайындауды ешқашан көрмейді және ештеңені оқшаулай алмайды.

Әдеттегі қатынас нүктесінде оқшаулау нені бөгейді

Өндірушілер мұны бірнеше атаумен береді: клиенттерді оқшаулау, AP оқшаулау, станцияларды оқшаулау немесе оны мензейтін қонақ желісі. OpenWrt-те әр интерфейс үшін параметр сымсыз конфигурацияның ішіндегі isolate, бұл сымсыз желі құжаттамасында сипатталған, ал қонақ SSID әдетте өз көпірін және firewall аймағын алады. Нәтижесінде клиенттер арасындағы unicast кадрлар көпірден өтпейді, сондықтан көршіге ping, SMB қосылымы немесе басып шығару тапсырмасы сәтсіз аяқталады, екі құрылғы да толық сигнал көрсетсе де.

Ашу протоколдары бірінші және ең көрнекі түрде зардап шегеді. Принтерлер мен медиа құрылғылардың mDNS-і multicast арқылы 224.0.0.251-ге барады, SSDP 239.255.255.250 қолданады, ал бұл кадрлардың көпірден өтуі өндірушіге және multicast-тен unicast-қа түрлендірудің қосылуына байланысты. Тізімнен жоқ құрылғы белгілі мекенжайға сәтсіз тікелей қосылыстан әлсіз дәлел.

VPN нені өзгертеді және нені өзгерте алмайды

Толық туннель әдепкі маршрутты алады, сондықтан жергілікті ішкі желілерге клиент олар үшін нақтырақ маршрут сақтаса ғана жетуге болады. Бөлінген туннельдер керісінше жасайды және жобасы бойынша жергілікті қатынасты сақтайды. Бұл параметрлердің ешқайсысы оқшаулаушы қатынас нүктесін өзінің екі клиентінің арасында кадр жіберуге мәжбүрлей алмайды, сондықтан VPN клиентінде жергілікті трафикке рұқсат беру қажет, бірақ жеткіліксіз.

Кері жағдай да солшалықты жиі. Қатынас нүктесі теңдес трафикке рұқсат береді, VPN клиенті жергілікті ішкі желіні туннельден шығарады, ал принтер бәрібір жауап бермейді, өйткені хосттың firewall-ы Wi-Fi желісін жалпыға ашық деп санайды. Үш қабат, үш түрлі әдепкі мән, және көптеген VPN журналдарында тек маршрут көрінеді.

Қай қақпа жабық екенін анықтаңыз

VPN-ді суреттен шығаратын тесттен бастаңыз: екі қарапайым құрылғыны бір SSID-ге қосып, мекенжай арқылы бірінен екіншісіне жетуге тырысыңыз. Бұл сәтсіз болса, қатынас нүктесі оқшаулап тұр және ешбір VPN параметрі оны түзетпейді. Сәтті болса, клиентке өтіп, Linux-те ip route get 192.168.1.50 немесе Windows-та Find-NetRoute -RemoteIPAddress 192.168.1.50 іске қосыңыз; шығыс пакет қолданатын интерфейсті атайды.

Маршрут Wi-Fi интерфейсін көрсетсе, пакет шифрланбай шығады және сұрақ қатынас нүктесі мен хост firewall-ының рұқсат етуіне айналады. Маршрут туннельді көрсетсе, тағайындау VPN серверіне жіберіледі, бұл сол жергілікті желідегі құрылғы үшін дұрыс емес және әдетте туннельдің рұқсат етілгендер тізімі тым кең екенін білдіреді.

Принтердің портына тікелей қосылу ашу тізімінен жақсырақ тест. Linux-те nc -vz 192.168.1.50 9100 немесе PowerShell-де Test-NetConnection 192.168.1.50 -Port 9100 мекенжайға мүлдем жетуге бола ма, соны айтады, қосымша деңгейіндегі жұптастыру талқылауға кірмес бұрын.

Өз желіңізге сәйкес түзетуді таңдаңыз

Қонақүй немесе қонақ желісінде оқшаулау әдейі жасалған және оны жеңуге тырыспау керек. Жергілікті құрылғыны жетпейтін деп қарастырыңыз, басып шығара немесе бөлісе алатын хостқа жету үшін VPN қолданыңыз және SSID-ді LAN деп қабылдауды тоқтатыңыз.

Үйде құрылғылар сіздікі болса, негізгі SSID-де оқшаулауды өшіру орынды, ал қонақ SSID оқшауланған күйінде қалады. Параметр қатынас нүктесінің сымсыз конфигурациясында тұрады және орны сонда, әр клиенттегі firewall ерекшеліктерінде емес.

Кеңседе қатынас нүктесі, VLAN және хост firewall-ы әдейі деп есептеңіз. Оқшаулауды өшіруді сұраудың орнына тест нәтижелерімен эскалация жасаңыз, өйткені клиенттерді бөлетін желі әдетте бірдеңені қорғайды.

Қолданбаны тексеріңіз, тек ping-ді емес

Сәтті ping жолды дәлелдейді, қызметті емес. Принтерлер шикі 9100 немесе 631-дегі IPP-ді қабылдайды, бірақ ашуды қабылдамайды, ал файл алмасуға 445 және жұмыс істейтін атау шешімі керек. Қолданба қолданатын портты растап, содан кейін құрылғыда нақты тапсырманы қайта көріңіз.

Жазбаларыңызда екі қабатты бөлек ұстаңыз: Wi-Fi желісі нені рұқсат етеді және VPN нені маршруттайды. Келесі жолы құрылғы тізімнен жоғалса, осы бөлініс қайда бірінші қарау керектігін айтады.