Конок Wi-Fi негизги маршрутту колдонууну улантууда: ага өзүнүн чыгуу жолун бериңиз

Сиз конок тармагын түздүңүз, ага маршрут коштуңуз, бирок коноктор дагы эле кадимки интернет байланышыңыз аркылуу чыгып жатышат. Туннель иштеп турат, негизги LAN иштейт, конок түзмөктөрү сиз берген диапазондогу даректи билдирет, ошондуктан эч нерсе бузулгандай көрүнбөйт. Көбүнчө жетишпей турган нерсе маршрут эмес, тандоочу: маршрутизатор пакеттин кайсы интерфейстен келгенин эске алуудан мурун жолду чечет, жана бир нерсе конок трафигине ачык дал келбесе, ал трафик демейкини мураска алат. Чечим — сегмент, саясат эрежеси жана жооп жолу, ушул тартипте.

Белги: коноктор дагы эле WAN аркылуу чыгышат

Белги — чыгуу дареги. Туннель аркылуу интернетке жеткен конок түзмөгү туннель провайдеринин дарегин билдирет, ал эми демейкини мураска алган түзмөк сиздин кадимки байланышыңызды билдирет. Конок түзмөгү менен негизги LAN түзмөгүн катар салыштырыңыз, анткени кызыктуу учур — алар сиз конфигурациялагандан башкача болуп, бири-бирине дал келгенде.

Экинчи белги — коноктор серептегенде туннель интерфейсинде эч кандай трафиктин жоктугу. Эсептегичтер кыймылдабаса, саясат эч качан колдонулган эмес, жана туннелдин өзүн жөндөө жардам бере албайт.

1-кадам: чыныгы сегмент, жөн гана ат эмес

SSID аты обочолонуу жаратпайт. Конок тармагы өзүнүн интерфейсинде, VLANда же көпүрөдө бүтөрүн жана дарек диапазону ишенимдүү LANдан өзгөчө экенин текшериңиз. Көптөгөн керектөөчү кирүү чекиттеринде конок SSID башка нерселердин баары менен бир сегментке көпүрөлөнөт, бул оңдолмогуча калган ишти мүмкүн эмес кылат.

Андан кийин конок диапазонун жана анын DHCP серверин ырастаңыз, ал эми чечүүчү жөндөөлөрүн бүт маршрутизаторго эмес, ошол сегментке байланыштырып кармаңыз. Брандмауэр эрежесиндеги комментарий катары гана жашаган конок ички тармагы сегмент эмес, жана маршрутизатордо дал келтире турган интерфейс болбойт.

VPN конфигурациялоону жеңилдетүү үчүн конокторду негизги LANга көпүрөлөбөңүз. Бул каалаган обочолонууңузду маршруттоо кыска жолуна алмаштырат, жана конок тармагынын принтер менен NASка жетүүгө ээ болушунун кадимки себеби ушул.

2-кадам: туннелди булак боюнча тандаңыз

Маршруттоо таблицалары багыты боюнча тандалат, ошондуктан «0.0.0.0/0ды туннелге жибер» эрежеси баарына тиешелүү. Саясаттык маршруттоо экинчи өлчөмдү кошот: таблицаны булак дареги боюнча тандаңыз. Linux негизиндеги маршрутизатордо бул кошумча эреже жана өзүнчө таблица, ал эми тартип маанилүү, анткени биринчи дал келген эреже жеңет:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Акыркы команда суроого түз жооп берет: бул булак бул багыт үчүн кайсы интерфейсти колдонот. Аны өзгөртүүдөн мурун жана кийин иштетиңиз, браузерге тийбей эле саясат күчүнө киргенин билесиз.

Маршрутизатор прошивкаларынын көбү бир нерсени интерфейс эрежеси же булакка негизделген шлюз тандоосу катары билдирет. Платформаңыз кандай синтаксис колдонбосун, принцип бирдей: кирүү интерфейсине же булак префиксине дал келтириңиз, анан маршрутту ошол дал келүү үчүн гана кайра аныктаңыз. Багыт боюнча дал келген эреже конокту үй түзмөгүнөн ажырата албайт.

3-кадам: жооп жолу жана трансляция

Туннелден чыккан пакет кайтып келиши керек. Же туннель өнөктөшү конок префиксине кайтуу жолун билет, же маршрутизатор конок булагын туннель дарегине которот. Бирөөнү тандап жазып коюңуз, анткени бузулуу режимдери ар башка көрүнөт: кайтуу жолу болбосо, байланыш түзүлөт да, эч качан жооп бербейт, ал эми трансляция болбосо, көбүнчө эч нерсе чыкпайт.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Трансляцияны тандасаңыз, өнөктөш эми ар бир конок үчүн бир даректи көрөрүн эстеңиз, ошондуктан алыскы учтагы ар бир кардар үчүн саясат жоголот. Даректерди сактасаңыз, эки учка тең өз маршруттоосунда жана саясатында конок префикси керек, бул көбүрөөк иш жана болжолдуураак.

IPv6 өз эрежесин талап кылат. IPv4 үчүн жазылган саясат экинчи үй-бүлөнү камтыбайт, жана иштеп турган IPv6сы бар конок түзмөгү аны кубаныч менен колдонот, ал эми сиздин кылдат маршрутталган IPv4 жолуңуз бош турат. Эки үй-бүлөнү тең маршруттаңыз же конок сегментинде IPv6ны өчүрүңүз, бирок жазган бириккен эреже түзмөктүн иш жүзүндө эмне кылганын камтыйт деп ойлобоңуз. Эки үй-бүлө тең күйгүзүлгөн кардар менен сынаңыз, анткени дизайн дал ушул учурга туруштук бериши керек. IPv6ны артык көргөн ноутбук IPv4 гана сынагында туура көрүнөт, ал эми чыныгысында агып кетет.

Обочолонууну сынаңыз, серептөөнү гана эмес

Серептөө чыгуу жолу өзгөргөнүн далилдейт. Ал сегменттин обочолонгонун далилдебейт, ал эми обочолонуу — конок тармагынын жашашынын себеби. Конок түзмөгүнөн маршрутизатордун администрациялык интерфейсине, ишенимдүү LAN хостүнө жана баш тартылышы керек болгон кызматка жетүүгө аракет кылыңыз; үчөө тең ийгиликсиз болушу керек, жана ийгиликсиздик эч ким түшүндүрө албаган убакыт чеги эмес, саясат чечими болушу керек.

Андан кийин негизги LAN түзмөгүн сынап, анын чыгуусу өзгөрбөгөнүн ырастаңыз. Бул дизайн эң көп жараткан регрессия: коноктор үчүн жасалган кең эреже, дал келүү багыт боюнча жазылгандыктан бардык интерфейстерге колдонулган.

Акырында, туннель өчкөндө эмне болорун чечиңиз. Коноктор же интернетке чыга албайт, же сиз жактырган жолго кайтат, жана муну чечпей калтыруу кадимки байланышка үнсүз кайтууну билдирет, бул дал конок саясаты болтурбоого тийиш болгон агым. Интернет трафигин маршруттоо рецепти pfSense негизиндеги маршрутизатор үчүн ошол эле жол тандоодон өтөт.

Маршрутизатордон чыккан DNS — адамдарды акырында таң калтырган учур. Эгер коноктор маршрутизаторду чечүүчү катары колдонушса, маршрутизатордун өз суроолору конок эрежесине эмес, маршрутизатордун маршрутуна ээрчийт, ошондуктан издөөлөр колдонмо трафиги чыкпаса да кадимки байланыштан чыгышы мүмкүн. Сегментти, чечүүчүнү жана бузулуу саясатын бир жазууда кармаңыз, ошондо кийинки адам дизайнды кайра чыгарбай эле үчөөнү текшере алат.