Wi-Fi klientų izoliacija prieš vietinę VPN prieigą: kas jus blokuoja

Padėkite du telefonus tame pačiame svečių SSID ir nė vienas nemato kito, bet abu pasiekia internetą. Pridėkite VPN klientą prie vieno iš jų ir už trijų metrų esantis spausdintuvas lieka nematomas, o serveris kitame žemyne atsako į ping. Tunelyje niekas nesugedę; dalyvauja du atskiri prieigos sprendimai, ir tik vienas iš jų apie maršrutizavimą. Prieigos taškas sprendžia, ar belaidžiai klientai gali kalbėtis tarpusavyje, o VPN klientas sprendžia, kurie tikslai išeina per tunelį. Šių dviejų sumaišymas kainuoja valandas beprasmių konfigūracijos pakeitimų.

Dveji vartai yra nepriklausomi

Klientų izoliacija yra perjungimo sprendimas. Prieigos taškas priima kadrą iš vienos susietos stoties, pažiūri tikslą, pastebi, kad tikslas yra kita stotis tame pačiame tilte, ir jį numeta. Stoties IP adresas šiam sprendimui nesvarbus, o VPN taip pat.

Maršrutizavimas yra kitas sprendimas, priimamas kliente. VPN maršrutų lentelė nusprendžia, ar paketas į 192.168.1.50 patenka į tunelį, ar išeina per Wi-Fi sąsają. Jei paketas išeina per Wi-Fi, o prieigos taškas izoliuoja klientus, jis žūva prieigos taške. Jei paketas patenka į tunelį, prieigos taškas niekada nemato pradinio tikslo ir negali nieko izoliuoti.

Ką izoliacija blokuoja įprastame prieigos taške

Gamintojai tai tiekia keliais pavadinimais: klientų izoliacija, AP izoliacija, stočių izoliacija arba svečių tinklas, kuris tai numato. OpenWrt sistemoje sąsajos parinktis yra isolate belaidėje konfigūracijoje, kaip aprašyta belaidžio tinklo dokumentacijoje, o svečių SSID paprastai gauna savo tiltą ir ugniasienės zoną. Poveikis toks, kad unicast kadrai tarp klientų nėra tiltinami, todėl ping, SMB ryšys ar spausdinimo užduotis kaimynui nepavyksta, nors abu įrenginiai rodo pilną signalą.

Aptikimo protokolai nukenčia pirmieji ir labiausiai matomai. Spausdintuvų ir medijos įrenginių mDNS keliauja multicast į 224.0.0.251, SSDP naudoja 239.255.255.250, o tai, ar tie kadrai kerta tiltą, priklauso nuo gamintojo ir nuo to, ar įjungtas multicast konvertavimas į unicast. Trūkstamas įrenginys sąraše yra silpnesnis įrodymas nei nepavykęs tiesioginis ryšys su žinomu adresu.

Ką VPN keičia, o ko pakeisti negali

Visas tunelis perima numatytąjį maršrutą, todėl vietiniai potinkliai pasiekiami tik jei klientas jiems išlaiko konkretesnį maršrutą. Skelti tuneliai daro priešingai ir pagal projektą išsaugo vietinę prieigą. Nė vienas nustatymas negali priversti izoliuojančio prieigos taško persiųsti kadrą tarp dviejų jo klientų, todėl leisti vietinį srautą VPN kliente būtina, bet nepakanka.

Atvirkštinis atvejis taip pat dažnas. Prieigos taškas leidžia srautą tarp klientų, VPN klientas išskiria vietinį potinklį iš tunelio, o spausdintuvas vis tiek neatsako, nes prieglobos ugniasienė Wi-Fi tinklą laiko viešu. Trys sluoksniai, trys skirtingos numatytosios reikšmės, ir tik maršrutas matomas daugumoje VPN žurnalų.

Nustatykite, kurie vartai uždaryti

Pradėkite nuo bandymo, kuris pašalina VPN iš vaizdo: prijunkite du paprastus įrenginius prie to paties SSID ir pabandykite pasiekti vieną iš kito pagal adresą. Jei tai nepavyksta, prieigos taškas izoliuoja ir joks VPN nustatymas to nepataisys. Jei pavyksta, pereikite prie kliento ir paleiskite ip route get 192.168.1.50 Linux sistemoje arba Find-NetRoute -RemoteIPAddress 192.168.1.50 Windows sistemoje; išvestis nurodo sąsają, kurią naudos paketas.

Kai maršrutas rodo į Wi-Fi sąsają, paketas išeina neužšifruotas ir kyla klausimas, ar prieigos taškas ir prieglobos ugniasienė tai leidžia. Kai maršrutas rodo į tunelį, tikslas siunčiamas VPN serveriui, o tai neteisinga įrenginiui tame pačiame vietiniame tinkle ir paprastai reiškia, kad tunelio leidžiamų sąrašas per platus.

Tiesioginis ryšys su spausdintuvo prievadu yra geresnis bandymas nei aptikimo sąrašas. nc -vz 192.168.1.50 9100 Linux sistemoje arba Test-NetConnection 192.168.1.50 -Port 9100 PowerShell aplinkoje pasako, ar adresas apskritai pasiekiamas, kol dar jokia programos lygmens poravimasis neįeina į diskusiją.

Pasirinkite taisymą tinklui, kuriame esate

Viešbučio ar svečių tinkle izoliacija yra tyčinė ir neturėtumėte bandyti jos įveikti. Laikykite vietinį įrenginį nepasiekiamu, naudokite VPN, kad pasiektumėte prieglobą, kuri gali spausdinti ar dalytis, ir nustokite laikyti SSID vietiniu tinklu.

Namuose išjungti izoliaciją pagrindiniame SSID yra pagrįsta, kai įrenginiai jūsų, o svečių SSID lieka izoliuotas. Nustatymas gyvena prieigos taško belaidėje konfigūracijoje, ir ten jam vieta, o ne kiekvieno kliento ugniasienės išimtyse.

Biure manykite, kad prieigos taškas, VLAN ir prieglobos ugniasienė visi yra tyčiniai. Eskaluokite su bandymų rezultatais, o ne prašykite išjungti izoliaciją, nes tinklas, kuris atskiria klientus, paprastai ką nors saugo.

Patikrinkite programą, ne tik ping

Sėkmingas ping įrodo kelią, o ne paslaugą. Spausdintuvai dažnai priima neapdorotą 9100 arba IPP per 631, bet atmeta aptikimą, o failų bendrinimui reikia 445 ir veikiančio vardų sprendimo. Patvirtinkite prievadą, kurį naudoja programa, tada dar kartą bandykite tikrąją užduotį įrenginyje.

Laikykite du sluoksnius atskirai savo užrašuose: ką leidžia Wi-Fi tinklas ir ką maršrutizuoja VPN. Kitą kartą įrenginiui dingus iš sąrašo, šis atskyrimas pasakys, kur pirmiausia žiūrėti.