Mājas segments tikai VPN: izslēdziet rezerves ceļu, ne tikai SSID

Jūs ievietojat viesu SSID VPN un saucat segmentu par tikai VPN. Tad tunelis nokrīt uz divām minūtēm un ierīces klusi atgriežas parastajā WAN. Nekas SSID nosaukumā to neatturēja. Tikai VPN segments tiek definēts ar to, kas notiek, kad tunelis nav pieejams, nevis ar tīkla etiķeti.

Etiķete ir solījums; rezerves ceļa politika ir izpilde.

Mīts: SSID ir robeža

SSID bez savas pārsūtīšanas politikas ir tikai nosaukums. Robeža ir atsevišķa saskarne, VLAN vai apakštīkls ar savu DHCP diapazonu un saviem noteikumiem. VLAN dod pārsūtīšanas robežu, ko Wi-Fi nosaukums nevar dot.

Klientu izolācija arī ir daļa no dizaina. Divām segmenta ierīcēm var būt nepieciešams savā starpā sazināties vai arī ne, un šai izvēlei jābūt skaidrai, nevis mantotai no viesu profila.

Pierakstiet segmenta saskarni un adrešu diapazonu, pirms rakstāt kaut vienu noteikumu. Šī viena rinda novērš lielāko daļu vēlākās neskaidrības.

Mīts: tuneļa maršruts aptver katru protokolu

Piemērojiet programmaparatūras politiku šim segmentam, lai tā interneta trafiks izmantotu tuneli. Konfigurējiet attālo pārsūtīšanu un tulkošanu, ko tunelis prasa. Saglabājiet tikai to vietējo resursu piekļuvi, kas segmentam patiešām nepieciešama.

Pārbaudiet abas adrešu saimes. Ja IPv6 netiek pārsūtīts pa tuneli, politikai ar to jātiek galā, citādi IPv6 atbalstoša ierīce atradīs tiešu maršrutu, ko neesat paredzējis.

Tikai IPv4 paredzēts avārijas slēdzis ar ieslēgtu IPv6 ir izplatīts noplūdes veids. Pārbaudiet ar IPv6 atbalstošu klientu, ne tikai ar pa rokai esošo portatīvo datoru.

Mīts: DNS un tuneļa galapunkts seko tunelim

Maršrutētāja DNS var tikt ģenerēts lokāli un sekot paša maršrutētāja maršrutēšanas tabulai, nevis segmenta politikai. Izlemiet, kuru ceļu šim risinātājam jāizmanto un ko tas dara, kad tunelis neizdodas. Paša VPN galapunkta savienojums ir vēl viens izņēmums: tam nepieciešams dokumentētais ārējais maršruts uz partneri. Novirziet šo savienojumu tunelī, un tas nevarēs pacelties.

Turiet atjaunošanas administrēšanu atsevišķi no segmenta interneta piekļuves. Ja neizdevies partneris arī bloķē jums piekļuvi maršrutētājam, jūs esat pārvērtis tuneļa pārtraukumu apmeklējumā uz vietas. Turiet šo piekļuvi pārvaldības tīklā, nevis tikai VPN segmentā.

Kas to patiešām padara par tikai VPN

Bloķējiet parasto WAN pārsūtīšanu segmentam vienmēr, kad tunelis ir lejā. Tieši šis noteikums, nevis SSID, padara etiķeti patiesu. Pārbaudiet to ar nekaitīgu trafiku no segmenta ierīces.

Veiciet trīs pārbaudes: parastu darbību pa tuneli, atļauto kļūmes testu ar tuneli lejā un atjaunošanu, kad tas atgriežas. Apstipriniet, ka cits mājsaimniecības segments visu laiku saglabā savu paredzēto maršrutu. Dokumentējiet jebkurus tiešus izņēmumus, citādi etiķete slēpj ceļus, kurus vairs neatceraties.

Īss segmenta, izvēlētā tuneļa un izņēmumu ieraksts sniedz jums konkrētas pārbaudes pēc tam, kad programmaparatūras atjauninājums maina noteikumu secību vai risinātāja uzvedību. pfSense WireGuard klienta recepte ir noderīga atsauce tuneļa pusei, nevis segmenta politikas aizstājējs.