Nëmme-VPN-Heemsegment: de Fallback ausschalten, net nëmmen d'SSID

Dir setzt d'Gaascht-SSID op d'VPN an nennt d'Segment Nëmme-VPN. Dann fält den Tunnel fir zwou Minutten an d'Apparater ginn roueg zréck op de gewéinlechen WAN. Näischt am Numm vun der SSID huet dat verhënnert. En Nëmme-VPN-Segment gëtt definéiert duerch dat, wat geschitt, wann den Tunnel net disponibel ass, net duerch d'Etikett vum Reseau.

D'Etikett ass en Verspriechen; d'Fallback-Politik ass d'Duerchsëtzung.

Mythos: d'SSID ass d'Grenz

Eng SSID ouni hir eege Forwarding-Politik ass just en Numm. D'Grenz ass eng separat Interface, VLAN oder Subnetz mat hirer eege DHCP-Spann an hire eege Regelen. Eng VLAN gëtt Iech eng Forwarding-Grenz, déi en Wi-Fi-Numm net ka ginn.

D'Client-Isolatioun gehéiert och zum Design. Zwee Apparater am Segment musse vläicht mateneen schwätzen, oder och net, an déi Wiel sollt explizit sinn, amplaz vun engem Gaaschtprofil geierft ze ginn.

Schreift d'Interface an den Adressberäich vum Segment op, ier Dir eng eenzeg Regel schreift. Déi eng Linn verhënnert de gréissten Deel vun der spéider Duercherneen.

Mythos: d'Tunnelroute deckt all Protokoll of

Wendt d'Firmware-Politik op dat Segment un, sou datt säin Internetverkéier den Tunnel benotzt. Konfiguréiert d'Remotforwarding an d'Iwwersetzung, déi den Tunnel brauch. Behällt nëmmen de lokale Ressourcenzougang, deen d'Segment wierklech brauch.

Préift béid Adressfamilljen. Wann IPv6 net duerch den Tunnel gedroe gëtt, muss d'Politik et handhaben, soss fënnt en IPv6-fäegt Apparat eng direkt Route, déi Dir net virausgesinn hutt.

En Ausschaltknäppchen nëmme fir IPv4 mat aktivem IPv6 ass eng heefeg Manéier fir ze leechen. Testt mat engem IPv6-fäegen Client, net nëmme mat deem Laptop, den Dir grad zur Hand hutt.

Mythos: DNS an den Tunnelendpunkt follegen dem Tunnel

Router-DNS ka lokal generéiert ginn an der eegener Routingtabell vum Router follegen, net der Politik vum Segment. Entscheet, wéi ee Wee dee Resolver solle benotzen an wat en mécht, wann den Tunnel feelt. D'eegen Endpunktverbindung vun der VPN ass eng aner Ausnam: si brauch déi dokumentéiert baussenzeg Route zum Peer. Leet déi Verbindung an den Tunnel, a si kann net opkommen.

Halt d'Wiederherstelungsadministratioun getrennt vum Internetzougang vum Segment. Wann en ausgefallene Peer Iech och aus dem Router ausschléisst, hutt Dir en Tunnelausfall an e Besuch um Site verwandelt. Halt deen Zougang op engem Managementnetz, net um Nëmme-VPN-Segment.

Wat et wierklech zu Nëmme-VPN mécht

Blockéiert déi gewéinlech WAN-Forwarding fir d'Segment, wann ëmmer den Tunnel ënnen ass. Et ass déi Regel, net d'SSID, déi d'Etikett wouer mécht. Testt se mat harmlosem Verkéier vun engem Apparat am Segment.

Maacht dräi Kontrollen: normal Betrib duerch den Tunnel, den erlaabten Ausfalltest mat ënnen Tunnel, an d'Wiederherstelung, wann en zréckkënnt. Bestätegt, datt en anert Haushaltsssegment seng eege geplangte Route déi ganz Zäit behält. Dokumentéiert all direkt Ausnamen, soss verstoppt d'Etikett Weeër, un déi Dir Iech net méi erënnert.

Eng kuerz Opzeechnung vum Segment, dem gewielten Tunnel an den Ausnamen gëtt Iech spezifesch Kontrollen, nodeems e Firmware-Update d'Regelreihenfolg oder d'Verhalen vum Resolver geännert huet. D'pfSense-WireGuard-Client-Rezept ass eng nëtzlech Referenz fir d'Tunnelsäit, keen Ersatz fir d'Segmentpolitik.