Wi-Fi-Access-Point hannert engem VPN-Gateway: eng eenzeg LAN behalen

Gebrückten Access Point oder zweeten gerouteten Segment? Den Ënnerscheed ass wien Adresséierung, DNS an den Tunnel huet, an dat entscheet wou d’Politik lieft.

Drahtlos Clientë kënnen hannert engem VPN sëtzen ouni datt den Access Point eppes vum Tunnel weess. Bréckt de Radio op d’LAN vum Gateway, loosst de Gateway d’Adresséierung an den Tunnel hunn, an all Apparat um Wi-Fi ierft déi selwecht Politik. D’Alternativ, en zweeten gerouteten Segment mat sengem eegene Gateway, ass en aneren Design mat engem aneren Ausfallmodus.

Déi zwee gi verwiesselt well béid eng Këscht tëscht den Internet an Är Apparater setzen. Vergläichen wat jiddwereen huet ass de séiersten Wee fir ze wielen.

Zwee Weeër fir de VPN virum Wi-Fi ze setzen

An enger gebrückter Opstellung dréit den Access Point Frames tëscht dem Radio an dem Kabelsegment an näischt anescht: een Subnet, eng Adressautoritéit, een Router deen d’Politik ausféiert. An enger gerouteter Opstellung huet déi zweet Këscht hir eege Adressen, hiren eegene DHCP-Beräich an hir eege Standardroute, sou datt den Trafik nach eng Grenz iwwerquiert ier en den Tunnel erreecht. Den gebrückten Design mécht all drahtlos Apparat lokal fir de Gateway, an dofir deckt een Regelsaz se all of. Den gerouteten Design gëtt Iech e Segment iwwer dat Dir nogrënsen kënnt an eng zweet Plaz wou d’Politik ka falsch goen.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Wielt de gebrückten wann d’Ufuerderung ass datt drahtlos Apparater deen selwechten Tunnel benotze wéi Kabelapparater. Wielt de gerouteten wann Dir e Segment wëllt dat isoléiert ka ginn, oder wann déi zweet Këscht schonn als Router existéiert.

Wat déi gebrückt Opstellung tatsächlech ännert

Brécke-Modus hëlt eng Iwwersetzungsschicht an en konkurréierende Standard-Gateway ewech, a bäisetzt e Verwaltungsproblem. Den Access Point brauch nach ëmmer eng Adress déi Dir erreeche kënnt, wat de Léiferanten-Oflaf normalerweis iwwer d’Haapt-LAN arrangéiert. Seng DHCP-Service muss aus sinn, soss ginn zwou Autoritéiten a widerspréchlech Leas eraus. De Gateway behält den Tunnel, d’Astellunge vum Resolver an d’Entscheedung wat geschitt wann den Tunnel fält, sou datt d’Politik op genau enger Plaz lieft.

De Radio ierft näischt dovu vum Tunnel automatesch. Hie stopf just Schichten bäizesetzen déi en iwwerdecke géife.

Wou en zweeten gerouteten Segment passt

En gerouteten Segment verdéngt seng Komplexitéit wann d’Apparater dohannert en anere Behuel brauchen wéi de Rescht vun der LAN. E Gaaschtenetz, e Laboratoire oder eng Grupp Cliente déi ëmmer duerch e bestëmmt Land eraus mussen sinn all Grënn fir en Router an de Wee ze setzen. De Präis ass eng zweet Adressautoritéit, eng zweet Firewall déi muss konsequent gehal ginn, an eng Réckroute vun der Haapt-LAN wann do een de Segment erreeche muss. Dat si Verflichtungen, net Konfiguratiounsdetailer.

De gewéinleche Feeler ass déi geroutete Versioun zoufälleg ze bauen, andeems en Router nei benotzt gëtt dee nach ëmmer seng eege DHCP an Iwwersetzung lafe léisst. Dat ergëtt duebel Iwwersetzung an eng Politik déi keen nogoe kann.

Test vun engem Wi-Fi-Client, net vum Gateway

En erfollegräichen Ufro um Gateway beweist datt den Tunnel fir de Gateway funktionéiert. Déi richteg Fro ass ob de weidergeleet Trafik vun engem drahtlose Client en benotzt, an dat muss vum Client observéiert ginn. D’Befehlër hei drënner kontrolléieren d’Adress vum Client, seng Route an d’Adress déi en entfernte Service gesäit.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Eng Adress bannent der LAN vum Gateway bestätegt datt d’Bréck Frames duerchléisst amplaz se z’iwwersetzen. Eng Route déi als éischte Sprong de Gateway huet bestätegt datt de Client keng zweet Standardroute vun aneschtwou kritt huet. D’Kontroll vun der Ausgangsadress beäntwert déi richteg Fro, an de kuerzen Trace weist ob déi éischt Spréng déi erwaart sinn. Wann d’Adress vum Client aus engem anere Beräich kënnt, ass en duercherneen gerodenen DHCP-Server den éischten Verdächtegen.

Schreift d’Roll vun all Këscht, hir Adress an d’DHCP-Autoritéit op. En Diagramm mat dräi Linn ass genuch, an et entscheet déi meescht Diskussiounen doriwwer wou eng Regel gehéiert.

Ähnlech Artikelen