Gaascht-Wi-Fi benotzt weider d'Haaptroute: gitt him säin eegenen Ausgang

Dir hutt en Gaaschtenetz ugeluecht, eng Route derbäi gesat, an d'Gäscht ginn nach ëmmer duerch Är normal Internetverbindung eraus. Den Tunnel ass uewen, d'Haapt-LAN funktionéiert, an d'Gaaschtapparater mellen eng Adress aus dem Beräich, deen Dir zougewisen hutt, also gesäit näischt futti aus. Wat meeschtens feelt, ass net eng Route, mä en Auswieler: den Router decidéiert de Wee, ier en berécksiichtegt, aus wéi enger Interface de Paket ukomm ass, an ausser et passt eppes explizit op den Gaaschtverkéier, ierft dee Verkéier den Default. D'Léisung ass e Segment, eng Politikregel an en Äntwertwee, an deem Ordre.

D'Symptom: Gäscht ginn nach ëmmer duerch d'WAN eraus

Den Hiwäis ass d'Ausgangsadress. En Gaaschtapparat, deen iwwer den Tunnel an Internet kënnt, mellt d'Adress vum Tunnelprovider, an deen, deen den Default ierft huet, mellt Är normal Verbindung. Vergläicht en Gaaschtapparat an en Haapt-LAN-Apparat niewenteneen, well dee interessanten Fall ass, wann se anescht wéi dat, wat Dir konfiguréiert hutt, a mateneen iwwereneestëmmen.

Den zweeten Hiwäis ass d'Fehlen vun jeglechem Verkéier op der Tunnelinterface, während d'Gäscht browsen. Wann d'Zähler sech net beweegen, gouf d'Politik ni ugewend, an den Tunnel selwer ze justéieren kann net hëllefen.

Schrëtt 1: e richtegt Segment, net just en Numm

En SSID-Numm schaaft keng Isolatioun. Iwwerpréift, datt d'Gaaschtenetz op senger eegener Interface, VLAN oder Bréck endet, an datt d'Adressberäich vum vertraute LAN verschidden ass. Op ville Konsumenten-Zougangspunkte gëtt de Gaascht-SSID an d'selwecht Segment wéi alles anescht gebréckt, wat de Rescht vun dëser Aarbecht onméiglech mécht, bis dat verbessert gëtt.

Bestätegt duerno de Gaaschteberäich an säin DHCP-Server, a haalt d'Resolvers-Astellungen mat deem Segment verbonnen an net mat dem ganzen Router. En Gaascht-Subnet, deen nëmmen als Kommentar an enger Firewallregel existéiert, ass kee Segment, an den Router wäert keng Interface hunn, mat där en iwwereneestëmmt.

Bréckt d'Gäscht net an d'Haapt-LAN, fir d'VPN méi einfach ze konfiguréieren. Dat tauscht d'Isolatioun, déi Dir wollt, géint eng Routing-Ofkierzung, an dat ass de gewéinleche Grond, firwat en Gaaschtenetz am Schluss Zougang zum Drucker an zum NAS huet.

Schrëtt 2: wielt den Tunnel no der Quell

Routingtabellen gi no der Destinatioun gewielt, also eng Regel, déi seet «schéck 0.0.0.0/0 an den Tunnel», gëllt fir jiddereen. Politikrouting bäisetzt eng zweet Dimensioun: wielt d'Tabell no der Quelladress. Op engem Linux-baséierte Router ass dat eng zousätzlech Regel plus eng dédiéiert Tabell, an d'Reiefolleg ass wichteg, well déi éischt passend Regel gewënnt:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Dee leschte Befehl beäntwert d'Fro direkt: wéi eng Interface dës Quell fir dës Destinatioun benotze wäert. Féiert en virun an no der Ännerung aus, an Dir wësst, ob d'Politik gewierkt huet, ouni e Browser unzefassen.

Déi meescht Routerfirmwares drécken dat selwecht als Interface-Regel oder quellbaséiert Gateway-Wiel aus. Egal wéi eng Syntax Är Plattform benotzt, ass de Prinzip d'selwecht: passt op d'Ingangsinterface oder de Quellprefix, an iwwerschreift dann d'Route just fir déi Passung. Eng Regel, déi no der Destinatioun passt, kann en Gaascht net vun engem Hausapparat ënnerscheeden.

Schrëtt 3: den Äntwertwee an d'Iwwersetzung

E Paket, deen duerch den Tunnel erausgeet, muss zréckkommen. Entweder kennt den Tunnelpartner eng Route zréck zum Gaaschteprefix, oder den Router iwwersetzt d'Gaaschtquell an d'Tunneladress. Wielt eng a schreift se op, well d'Feelermodi verschidden ausgesinn: eng fehlend Retourroute gëtt eng Verbindung, déi sech opbaut an ni äntwert, während eng fehlend Iwwersetzung dacks garant näischt produzéiert.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Wann Dir d'Iwwersetzung wielt, denkt drun, datt de Partner elo eng eenzeg Adress fir all Gaascht gesäit, also geet all Politik pro Client um wäiten Enn fort. Wann Dir d'Adressen dogéint behält, brauchen béid Enner de Gaaschteprefix an hirem Routing an hirer Politik, wat méi Aarbecht ass a méi viraussobar.

IPv6 brauch seng eegen Regel. Eng Politik, déi fir IPv4 geschriwwen ass, deckt déi aner Famill net, an en Gaaschtapparat mat funktionéierendem IPv6 wäert se gär benotzen, während Äre suergfälteg gerouteten IPv4-Wee brooch läit. Rout béid Famillen oder deaktivéiert IPv6 um Gaaschtegment, awer hält net un, datt déi kombinéiert Regel, déi Dir geschriwwen hutt, deckt wat den Apparat tatsächlech mécht. Testt mat engem Client, deen déi zwou Famillen aktivéiert huet, well dat ass de Fall, deen den Design muss iwwerliewe. En Laptop, deen IPv6 virzitt, gesäit a engem nëmmen-IPv4-Test richteg aus a leckt an deem echten.

Testt d'Isolatioun, net just d'Browsen

Browsen beweist, datt den Ausgang sech geännert huet. Et beweist net, datt d'Segment isoléiert ass, an d'Isolatioun ass de Grond, firwat et d'Gaaschtenetz gëtt. Probéiert vun engem Gaaschtapparat aus d'Administratiounsinterface vum Router, en Host vum vertraute LAN an e Service, dee misst refuséiert ginn, z'erreechen; all dräi sollte fehlen, an de Feeler soll eng Politikentscheedung sinn an net eng Zäitlimite, déi keen erkläre kann.

Testt duerno en Haapt-LAN-Apparat a bestätegt, datt säin Ausgang sech net geännert huet. Dat ass d'Regressioun, déi dësen Design am dackste verursaacht: eng breet Regel fir Gäscht, ugewend op all Interface, well d'Passung op d'Destinatioun geschriwwe gouf.

Zum Schluss entscheet, wat geschitt, wann den Tunnel erof ass. D'Gäscht kréien entweder keen Internet oder falen op e Wee zréck, deen Dir gutt heescht, an dat onentscheedt ze loossen heescht e stille Réckfall op déi normal Verbindung, wat genau de Leck ass, deen d'Gaaschtpolitik sollt verhënneren. Dat Rezept fir d'Routing vum Internetverkéier geet dee selwechte Wee auswielen fir en pfSense-baséierte Router duerch.

DNS, deen aus dem Router kënnt, ass de Fall, deen d'Leit als Lescht iwwerrascht. Wann d'Gäscht den Router als Resolver benotzen, follegen d'Ufroen vum Router selwer der Route vum Router an net der Gaaschtregel, also kënnen d'Sich duerch déi normal Verbindung erausgoen, während den Applikatiounsverkéier et net mécht. Haalt d'Segment, de Resolver an d'Feelerpolitik an enger Notiz, an déi nächst Persoun kann all dräi iwwerpréiwen, ouni den Design nei ofzeleeden.