Wi-Fi-Client-Isolatioun géint lokalen VPN-Zougrëff: wat dech blockéiert

Setz zwee Telefonen op dee selwechte Gäscht-SSID an keent gesäit dat anert, awer béid erreechen den Internet. Füüg en VPN-Client op engem vun hinne bäi an de Printer dräi Meter ewech bleift onsichtbar, wärend e Server op engem anere Kontinent op Ping äntwert. Am Tunnel ass näischt futti; zwou getrennte Zougrëffsentscheedungen kommen dobäi an nëmmen eng dovun geet ëm Routing. Den Accès-Punkt entscheet, ob kabellos Clienten matenee schwätze kënnen, an de VPN-Client entscheet, wéi eng Destinatiounen duerch den Tunnel erausginn. Dës zwou ze verwiesselen bréngt Stonnen onnëtz Konfiguratiounsännerungen.

Déi zwou Paarte sinn onofhängeg

Client-Isolatioun ass eng Switching-Entscheedung. Den Accès-Punkt hëlt e Frame vun enger assoziéierter Statioun, kuckt d'Destinatioun, mierkt datt d'Destinatioun eng aner Statioun op der selwechter Bréck ass, an erofgeet en. D'IP-Adress vun der Statioun ass irrelevant fir déi Entscheedung, an den VPN och.

Routing ass eng aner Entscheedung, déi um Client getraff gëtt. D'Routing-Tabelle vum VPN entscheet, ob e Pak fir 192.168.1.50 an den Tunnel geet oder iwwer d'Wi-Fi-Schnittstell erausgeet. Wann de Pak iwwer Wi-Fi erausgeet an den Accès-Punkt d'Clienten isoléiert, stierft en um Accès-Punkt. Wann de Pak an den Tunnel geet, gesäit den Accès-Punkt ni déi ursprénglech Destinatioun a kann näischt isoléieren.

Wat Isolatioun op engem typeschen Accès-Punkt blockéiert

Hiersteller liwweren dat ënner verschiddenen Nimm: Client-Isolatioun, AP-Isolatioun, Statiouns-Isolatioun oder e Gäschtenetz, dat et implizéiert. An OpenWrt ass d'Optioun pro Schnittstell isolate bannent der kabelloser Konfiguratioun, wéi an der kabelloser Dokumentatioun beschriwwen, an e Gäscht-SSID kritt meeschtens seng eege Bréck an eng Firewall-Zon. D'Effekt ass, datt Unicast-Framen tëscht Clienten net gebréckt ginn, sou datt e Ping, eng SMB-Verbindung oder en Dréckauftrag un en Noper feelgeet, obwuel béid Apparater vollt Signal weisen.

Entdeckungsprotokoller leiden als éischt an am sichtbarsten. mDNS fir Printere a Medie-Apparater geet per Multicast op 224.0.0.251, SSDP benotzt 239.255.255.250, an ob dës Framen d'Bréck iwwerqueren hänkt vum Hiersteller of an dovun, ob d'Ëmwandlung vu Multicast a Unicast ageschalt ass. En Apparat deen op enger Lëscht feelt ass e méi schwaache Beweis wéi eng feelgeschloe direkt Verbindung mat enger bekannter Adress.

Wat den VPN ännert, a wat en net ännere kann

En ganze Tunnel hëlt d'Standardroute, sou datt lokal Subnetzer nëmmen erreecht ginn, wann de Client eng méi spezifesch Route fir si behält. Gespléckt Tunnelen maachen d'Géigendeel a behalen den lokalen Zougrëff vun der Konstruktioun hir. Keng vun den Astellunge kann en isoléierenden Accès-Punkt dozou bréngen, e Frame tëscht zwee vu senge Clienten weiderzeleet, dofir ass d'Erlaben vum lokalen Traffic am VPN-Client néideg, awer net genuch.

De Géigefall ass gläich heefeg. Den Accès-Punkt erlaabt Traffic tëscht de Clienten, de VPN-Client schléisst de lokalen Subnetz aus dem Tunnel aus, an de Printer äntwert nach ëmmer net, well d'Firewall vum Host d'Wi-Fi-Netz als ëffentlech behandelt. Dräi Schichten, dräi verschidde Standardwäerter, an nëmmen d'Route ass a meeschte VPN-Logs sichtbar.

Fann eraus, wéi eng Paart zou ass

Fänk mat engem Test un, deen den VPN aus dem Bild hëlt: verbann zwee gewéinlech Apparater mam selwechte SSID a probéier, deen eenen iwwer d'Adress vum aneren z'erreechen. Wann dat feelgeet, isoléiert den Accès-Punkt a keng VPN-Astellung wäert dat reparéieren. Wann et klappt, gitt zum Client a fuert ip route get 192.168.1.50 op Linux oder Find-NetRoute -RemoteIPAddress 192.168.1.50 op Windows aus; d'Ausgab nennt d'Schnittstell, déi de Pak benotzt.

Wann d'Route op d'Wi-Fi-Schnittstell weist, geet de Pak onverschlësselt eraus an d'Fro gëtt, ob den Accès-Punkt an d'Firewall vum Host dat erlaben. Wann d'Route op den Tunnel weist, gëtt d'Destinatioun op de VPN-Server geschéckt, wat fir en Apparat am selwechte LAN falsch ass an normalerweis heescht, datt d'erlaabt Lëscht vum Tunnel ze breet ass.

Eng direkt Verbindung mam Port vum Printer ass en besseren Test wéi eng Entdeckungslëscht. nc -vz 192.168.1.50 9100 op Linux oder Test-NetConnection 192.168.1.50 -Port 9100 an PowerShell seet dir, ob d'Adress iwwerhaapt erreechbar ass, ier iergendeng Pairing op Applikatiounsniveau an d'Diskussioun kënnt.

Wielt d'Korrektur fir dat Netz, an deem dir sidd

An engem Hotel- oder Gäschtenetz ass d'Isolatioun bewosst an dir sollt net probéieren, si z'iwwerwannen. Behandelt den lokalen Apparat als onerreechbar, benotzt den VPN fir en Host z'erreechen, deen drécken oder deelen kann, a stoppt d'SSID als LAN ze behandelen.

Doheem ass d'Isolatioun um Haapt-SSID auszeschalten raisonnabel, wann d'Apparater är sinn, wärend de Gäscht-SSID isoléiert bleift. D'Astellung lieft an der kabelloser Konfiguratioun vum Accès-Punkt, an do gehéiert se hin, net an Firewall-Ausnamen op all Client.

Am Büro huelt un, datt den Accès-Punkt, de VLAN an d'Firewall vum Host all bewosst sinn. Eskaléiert mat den Testresultater amplaz ze froen, d'Isolatioun auszeschalten, well en Netz, dat Clienten trennt, normalerweis eppes schützt.

Iwwerpréift d'Applikatioun, net nëmmen de Ping

En erfollegräiche Ping beweist de Wee, net de Service. Printere akzeptéieren dacks rohe 9100 oder IPP op 631, awer refuséieren Entdeckung, an eng Dateifreigab brauch 445 plus funktionéierend Nummopléisung. Bestätegt de Port, deen d'Applikatioun benotzt, a probéiert duerno déi eigentlech Aufgab um Apparat erëm.

Halt déi zwou Schichten auserneen an Ären Notizen: wat d'Wi-Fi-Netz erlaabt, a wat den VPN routet. Déi nächst Kéier wann en Apparat aus enger Lëscht verschwënnt, seet dee Spläit dir, wou dir als éischt kucke sollt.