Wi-Fi кардарларын обочолонтуу жана VPN жергиликтүү кирүү: сизди эмне тосот

Бир конок SSID'ине эки телефонду коюңуз: экөө тең бири-бирин көрбөйт, бирок экөө тең интернетке чыгат. Алардын бирине VPN кардарын кошуңуз, үч метр алыстыктагы принтер көрүнбөй калат, ал эми башка континенттеги сервер ping'ге жооп берет. Туннелде эч нерсе бузулган жок; эки өзүнчө кирүү чечими катышат жана алардын бирөө гана багыттоого тиешелүү. Кирүү пункту зымсыз кардарлар бири-бири менен сүйлөшө алабы же жокпу аныктайт, VPN кардары кайсы даректер туннелден чыгарын аныктайт. Буларды аралаштыруу сааттар бою пайдасыз конфигурация өзгөртүүлөрүн берет.

Эки дарбаза көз каранды эмес

Кардарларды обочолонтуу — коммутация чечими. Кирүү пункту байланган станциядан кадр кабыл алат, дарекке карайт, дарек ошол эле көпүрөдөгү башка станция экенин байкайт жана аны таштайт. Станциянын IP дареги бул чечимге тиешесиз, VPN да ошондой.

Багыттоо — кардарда кабыл алынуучу башка чечим. VPN'дин багыттоо таблицасы 192.168.1.50 үчүн пакеттин туннелге кирерин же Wi-Fi интерфейси аркылуу чыгарын аныктайт. Пакет Wi-Fi аркылуу чыкса жана кирүү пункту кардарларды обочолонтсо, ал кирүү пунктунда өлөт. Пакет туннелге кирсе, кирүү пункту баштапкы даректи эч качан көрбөйт жана эч нерсени обочолонто албайт.

Кадимки кирүү пунктунда обочолонтуу эмнени тосот

Өндүрүүчүлөр муну бир нече ат менен берет: кардарларды обочолонтуу, AP обочолонтуу, станцияларды обочолонтуу же аны билдирген конок тармагы. OpenWrt'те ар бир интерфейс үчүн параметр зымсыз конфигурациянын ичиндеги isolate, бул зымсыз тармак документтеринде сүрөттөлгөн, ал эми конок SSID адатта өз көпүрөсүн жана firewall аймагын алат. Натыйжада кардарлардын ортосундагы unicast кадрлар көпүрөдөн өтпөйт, ошондуктан кошунага ping, SMB байланышы же басып чыгаруу тапшырмасы ишке ашпайт, эки түзмөк тең толук сигнал көрсөтсө да.

Ачуу протоколдору биринчи жана эң көрүнүктүү жабыркайт. Принтерлер жана медиа түзмөктөр үчүн mDNS multicast аркылуу 224.0.0.251'ге барат, SSDP 239.255.255.250 колдонот, ал эми бул кадрлардын көпүрөдөн өтүшү өндүрүүчүгө жана multicast'тен unicast'ка айландыруунун күйгүзүлүшүнө байланыштуу. Тизмеден жок түзмөк белгилүү дарекке ийгиликсиз түз байланыштан алсыз далил.

VPN эмнени өзгөртөт жана эмнени өзгөртө албайт

Толук туннель демейки багытты алат, ошондуктан жергиликтүү ички тармактарга кардар алар үчүн такыраак багыт сактаса гана жетүүгө болот. Бөлүнгөн туннелдер тескерисинче жасайт жана долбоору боюнча жергиликтүү кирүүнү сактайт. Бул жөндөөлөрдүн эч бири обочолонтуучу кирүү пунктун өзүнүн эки кардарынын ортосунда кадр жиберүүгө мажбурлай албайт, ошондуктан VPN кардарында жергиликтүү трафикке уруксат берүү зарыл, бирок жетиштүү эмес.

Керисинче учур да ушунчалык көп. Кирүү пункту теңдеш трафикке уруксат берет, VPN кардары жергиликтүү ички тармакты туннелден чыгарат, ал эми принтер баары бир жооп бербейт, анткени хосттун firewall'у Wi-Fi тармагын коомдук деп эсептейт. Үч катмар, үч башка демейки маани, жана көпчүлүк VPN журналдарында багыт гана көрүнөт.

Кайсы дарбаза жабык экенин аныктаңыз

VPN'ди сүрөттөн чыгарган тесттен баштаңыз: эки кадимки түзмөктү бир SSID'ге туташтырып, дарек аркылуу биринен экинчисине жетүүгө аракет кылыңыз. Бул ишке ашпаса, кирүү пункту обочолонтуп жатат жана эч бир VPN жөндөөсү аны оңдобойт. Ийгиликтүү болсо, кардарга өтүп, Linux'то ip route get 192.168.1.50 же Windows'то Find-NetRoute -RemoteIPAddress 192.168.1.50 иштетиңиз; чыгарылыш пакет колдоно турган интерфейсти атайт.

Багыт Wi-Fi интерфейсин көрсөтсө, пакет шифрлөөсүз чыгат жана суроо кирүү пункту менен хост firewall'унун уруксат беришине айланат. Багыт туннелди көрсөтсө, дарек VPN серверине жөнөтүлөт, бул ошол эле LAN'дагы түзмөк үчүн туура эмес жана адатта туннелдин уруксат берилгендер тизмеси өтө кенен экенин билдирет.

Принтердин портуна түз байланыш ачуу тизмесинен жакшыраак тест. Linux'то nc -vz 192.168.1.50 9100 же PowerShell'де Test-NetConnection 192.168.1.50 -Port 9100 дарекке такыр жетүүгө болобу, ошону айтат, колдонмо деңгээлиндеги жупташтыруу талкууга кирээрден мурун.

Өз тармагыңызга ылайыктуу оңдоону тандаңыз

Мейманкана же конок тармагында обочолонтуу атайын жасалган жана аны жеңүүгө аракет кылбаш керек. Жергиликтүү түзмөктү жеткис деп караңыз, басып чыгара же бөлүшө алган хостко жетүү үчүн VPN колдонуңуз жана SSID'ди LAN деп кабыл алууну токтотуңуз.

Үйдө түзмөктөр сиздики болсо, негизги SSID'де обочолонтууну өчүрүү орундуу, ал эми конок SSID обочолонгон бойдон калат. Жөндөө кирүү пунктунун зымсыз конфигурациясында турат жана анын орду ошол жерде, ар бир кардардагы firewall өзгөчөлүктөрүндө эмес.

Кеңседе кирүү пункту, VLAN жана хост firewall'у атайын деп эсептеңиз. Обочолонтууну өчүрүүнү суроонун ордуна тест жыйынтыктары менен эскалация жасаңыз, анткени кардарларды бөлгөн тармак адатта бир нерсени коргойт.

Колдонмону текшериңиз, жалаң ping'ди эмес

Ийгиликтүү ping жолду далилдейт, кызматты эмес. Принтерлер чийки 9100 же 631'деги IPP'ни кабыл алат, бирок ачууну четке кагат, ал эми файл бөлүшүүгө 445 жана иштеген ат чечүү керек. Колдонмо колдонгон портту ырастап, анан түзмөктөгү чыныгы тапшырманы кайра аракет кылыңыз.

Жазууларыңызда эки катмарды өзүнчө кармаңыз: Wi-Fi тармагы эмнеге уруксат берет жана VPN эмнени багыттайт. Кийинки жолу түзмөк тизмеден жоголсо, ушул бөлүнүү кайда биринчи кароо керектигин айтат.