Namų segmentas tik per VPN: išjunkite atsarginį kelią, ne tik SSID

Įdedate svečių SSID į VPN ir vadiname segmentą tik-VPN. Tada tunelis dviem minutėms nukrenta ir įrenginiai tyliai grįžta į įprastą WAN. Niekas SSID pavadinime tam nesutrukdė. Tik-VPN segmentas apibrėžiamas tuo, kas nutinka, kai tunelis neprieinamas, o ne tinklo žyma.

Žyma yra pažadas; atsarginio kelio politika yra vykdymas.

Mitas: SSID yra riba

SSID be savo persiuntimo politikos yra tik pavadinimas. Riba yra atskira sąsaja, VLAN ar potinklis su savo DHCP diapazonu ir savo taisyklėmis. VLAN suteikia persiuntimo ribą, kurios Wi-Fi pavadinimas negali suteikti.

Klientų izoliacija taip pat priklauso dizainui. Du segmento įrenginiai gali turėti bendrauti tarpusavyje arba ne, ir šis pasirinkimas turėtų būti aiškus, o ne paveldėtas iš svečių profilio.

Užsirašykite segmento sąsają ir adresų diapazoną prieš rašydami nors vieną taisyklę. Ši viena eilutė išvengia didžiosios dalies vėlesnės painiavos.

Mitas: tunelio maršrutas apima kiekvieną protokolą

Taikykite programinės įrangos politiką tam segmentui, kad jo interneto srautas naudotų tunelį. Suveskite nuotolinį persiuntimą ir vertimą, kurių reikalauja tunelis. Palikite tik tuos vietinių išteklių prieigos taškus, kurių segmentui tikrai reikia.

Patikrinkite abi adresų šeimas. Jei IPv6 neperduodamas per tunelį, politika turi su juo tvarkytis, kitaip IPv6 palaikantis įrenginys ras tiesioginį maršrutą, kurio nenumatėte.

Tik IPv4 skirtas avarinis jungiklis su įjungtu IPv6 yra įprastas nutekėjimo būdas. Bandykite su IPv6 palaikančiu klientu, o ne tik su po ranka esančiu nešiojamuoju.

Mitas: DNS ir tunelio galinis taškas seka tunelį

Maršrutizatoriaus DNS gali būti generuojamas vietoje ir sekti savo maršrutizavimo lentele, o ne segmento politika. Nuspręskite, kokiu keliu turi eiti tas sprendėjas ir ką jis daro, kai tunelis sugenda. Pačio VPN galinio taško ryšys yra dar viena išimtis: jam reikia dokumentuoto išorinio maršruto iki partnerio. Nukreipkite tą ryšį į tunelį ir jis negalės pakilti.

Laikykite atkūrimo administravimą atskirai nuo segmento interneto prieigos. Jei nepavykęs partneris taip pat užrakina jus prie maršrutizatoriaus, jūs pavertėte tunelio sutrikimą apsilankymu vietoje. Laikykite tą prieigą valdymo tinkle, o ne tik-VPN segmente.

Kas iš tikrųjų daro jį tik-VPN

Blokuokite įprastą WAN persiuntimą segmentui visada, kai tunelis yra žemyn. Būtent ši taisyklė, o ne SSID, padaro žymą teisinga. Išbandykite ją nekenksmingu srautu iš segmento įrenginio.

Atlikite tris patikras: normalų darbą per tunelį, leistiną gedimo testą su žemyn tuneliu ir atkūrimą, kai jis grįžta. Patvirtinkite, kad kitas namų segmentas visą laiką išlaiko savo numatytą maršrutą. Dokumentuokite visas tiesiogines išimtis, kitaip žyma paslėps kelius, kurių jau neprisimenate.

Trumpas segmento, pasirinkto tunelio ir išimčių įrašas suteikia jums konkrečias patikras po to, kai programinės įrangos atnaujinimas pakeičia taisyklių tvarką ar sprendėjo elgseną. pfSense WireGuard kliento receptas yra naudinga nuoroda tunelio pusei, o ne segmento politikos pakaitalas.