Wi-Fi prieigos taškas už VPN tinklų sietuvo: palikite vieną LAN

Sujungtas prieigos taškas ar antrasis maršrutizuotas segmentas? Skirtumas yra kas valdo adresus, DNS ir tunelį, ir tai lemia, kur gyvena politika.

Bevieliai klientai gali būti už VPN, o prieigos taškas nieko nežino apie tunelį. Sujunkite radiją su sietuvo LAN, leiskite sietuvui valdyti adresus ir tunelį, ir kiekvienas Wi-Fi įrenginys paveldi tą pačią politiką. Alternatyva, antrasis maršrutizuotas segmentas su savo sietuvu, yra kitoks sprendimas su kitu gedimo režimu.

Abu painiojami, nes abu stato dėžę tarp interneto ir jūsų įrenginių. Palyginti, ką kiekvienas valdo, yra greičiausias būdas pasirinkti.

Du būdai pastatyti VPN prieš Wi-Fi

Sujungtoje schemoje prieigos taškas perduoda kadrus tarp radijo ir laidinio segmento ir nieko daugiau: vienas potinklis, viena adresų valdžia, vienas maršrutizatorius, vykdantis politiką. Maršrutizuotoje schemoje antroji dėžė turi savo adresus, savo DHCP sritį ir savo numatytąjį maršrutą, todėl srautas kerta dar vieną ribą, kol pasiekia tunelį. Sujungtas sprendimas kiekvieną bevielį įrenginį padaro vietiniu sietuvui, todėl vienas taisyklių rinkinys apima visus. Maršrutizuotas sprendimas duoda segmentą, apie kurį galima mąstyti, ir antrą vietą, kur politika gali suktis ne taip.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Rinkitės sujungtą, kai reikalavimas yra, kad bevieliai įrenginiai naudotų tą patį tunelį kaip laidiniai. Rinkitės maršrutizuotą, kai norite segmento, kurį galima izoliuoti, arba kai antroji dėžė jau egzistuoja kaip maršrutizatorius.

Ką sujungta schema iš tikrųjų keičia

Sujungimas pašalina vertimo sluoksnį ir konkuruojantį numatytąjį sietuvą, ir prideda valdymo problemą. Prieigos taškas vis dar turi turėti adresą, kurį galite pasiekti, o tiekėjo darbo eiga paprastai tai sutvarko per pagrindinį LAN. Jo DHCP tarnyba turi būti išjungta, kitaip dvi valdžios išduos prieštaringas nuomas. Sietuvas laiko tunelį, sprendėjo nustatymus ir sprendimą, kas nutinka tunelui nukritus, todėl politika gyvena lygiai vienoje vietoje.

Radijas nieko iš to nepaveldi iš tunelio automatiškai. Jis tiesiog nustoja pridėti sluoksnius, kurie jį užgožtų.

Kur telpa antrasis maršrutizuotas segmentas

Maršrutizuotas segmentas vertas savo sudėtingumo, kai įrenginiams už jo reikia kitokio traktavimo nei likusiam LAN. Svečių tinklas, laboratorija ar klientų grupė, kuri visada turi išeiti per tam tikrą šalį, yra visos priežastys pastatyti maršrutizatorių kelyje. Kaina yra antra adresų valdžia, antras ugniasienis, kurį reikia išlaikyti suderintą, ir grįžtamasis maršrutas iš pagrindinio LAN, jei kam nors ten reikia pasiekti segmentą. Tai įsipareigojimai, o ne konfigūracijos detalės.

Dažna klaida yra netyčia sukurti maršrutizuotą versiją, naudojant maršrutizatorių, kuris vis dar vykdo savo DHCP ir vertimą. Tai duoda dvigubą vertimą ir politiką, kurios niekas negali atsekti.

Testuokite iš Wi-Fi kliento, o ne iš sietuvo

Sėkminga užklausa sietuve įrodo, kad tunelis veikia sietuvui. Tikrasis klausimas yra ar bevielio kliento persiųstas srautas jį naudoja, ir tai reikia stebėti iš kliento. Žemiau pateiktos komandos tikrina kliento adresą, jo maršrutą ir adresą, kurį mato nuotolinė tarnyba.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adresas sietuvo LAN viduje patvirtina, kad tiltas praleidžia kadrus, o ne juos verčia. Maršrutas, kurio pirmas šuolis yra sietuvas, patvirtina, kad klientas negavo antro numatytojo maršruto iš kitur. Išėjimo adreso patikra atsako į tikrąjį klausimą, o trumpas pėdsakas parodo, ar pirmieji šuoliai yra laukiami. Jei kliento adresas ateina iš kitos srities, pirmas įtariamasis yra pasiklydęs DHCP serveris.

Užrašykite kiekvienos dėžės vaidmenį, jos adresą ir DHCP valdžią. Diagramos su trimis linijomis pakanka, ir ji išsprendžia daugumą ginčų, kur priklauso taisyklė.

Susiję straipsniai