Wi-Fi klientu izolācija pret vietējo VPN piekļuvi: kas jūs bloķē

Ielieciet divus telefonus vienā viesu SSID, un neviens neredz otru, taču abi sasniedz internetu. Pievienojiet VPN klientu vienam no tiem, un printeris trīs metru attālumā paliek neredzams, kamēr serveris citā kontinentā atbild uz ping. Tunelī nekas nav salūzis; iesaistīti divi atsevišķi piekļuves lēmumi, un tikai viens no tiem ir par maršrutēšanu. Piekļuves punkts izlemj, vai bezvadu klienti drīkst savā starpā runāt, un VPN klients izlemj, kuri galamērķi iziet cauri tunelim. Šo divu sajaukšana rada stundām ilgas bezjēdzīgas konfigurācijas izmaiņas.

Abi vārti ir neatkarīgi

Klientu izolācija ir komutācijas lēmums. Piekļuves punkts pieņem kadru no vienas asociētas stacijas, aplūko galamērķi, pamana, ka galamērķis ir cita stacija uz tā paša tilta, un to izmet. Stacijas IP adrese šim lēmumam nav svarīga, un VPN arī nav.

Maršrutēšana ir cits lēmums, kas tiek pieņemts klientā. VPN maršrutu tabula izlemj, vai pakete uz 192.168.1.50 ieiet tunelī vai iziet caur Wi-Fi saskarni. Ja pakete iziet caur Wi-Fi un piekļuves punkts izolē klientus, tā iet bojā piekļuves punktā. Ja pakete ieiet tunelī, piekļuves punkts nekad neredz sākotnējo galamērķi un neko nevar izolēt.

Ko izolācija bloķē tipiskā piekļuves punktā

Ražotāji to piegādā ar vairākiem nosaukumiem: klientu izolācija, AP izolācija, staciju izolācija vai viesu tīkls, kas to ietver. OpenWrt saskarnes opcija ir isolate bezvadu konfigurācijā, kā aprakstīts bezvadu tīkla dokumentācijā, un viesu SSID parasti iegūst savu tiltu un ugunsmūra zonu. Rezultāts ir tāds, ka unicast kadri starp klientiem netiek tiltoti, tāpēc ping, SMB savienojums vai drukāšanas uzdevums uz kaimiņu neizdodas, lai gan abas ierīces rāda pilnu signālu.

Atklāšanas protokoli cieš pirmie un visspilgtāk. Printeru un mediju ierīču mDNS iet multicast uz 224.0.0.251, SSDP izmanto 239.255.255.250, un tas, vai šie kadri šķērso tiltu, atkarīgs no ražotāja un no tā, vai ir iespējota multicast pārveide unicast. Ierīce, kuras trūkst sarakstā, ir vājāks pierādījums nekā neizdevies tiešs savienojums ar zināmu adresi.

Ko VPN maina un ko tas nevar mainīt

Pilns tunelis pārņem noklusējuma maršrutu, tāpēc vietējie apakštīkli tiek sasniegti tikai tad, ja klients tiem saglabā konkrētāku maršrutu. Sadalītie tuneļi dara pretējo un pēc konstrukcijas saglabā vietējo piekļuvi. Neviens no iestatījumiem nevar piespiest izolējošu piekļuves punktu pārsūtīt kadru starp diviem tā klientiem, tāpēc vietējā trafika atļaušana VPN klientā ir nepieciešama, bet nepietiekama.

Pretējais gadījums ir tikpat biežs. Piekļuves punkts atļauj savstarpēju trafiku, VPN klients izslēdz vietējo apakštīklu no tuneļa, un printeris joprojām neatbild, jo resursdatora ugunsmūris uzskata Wi-Fi tīklu par publisku. Trīs slāņi, trīs dažādas noklusējuma vērtības, un lielākajā daļā VPN žurnālu redzams tikai maršruts.

Noskaidrojiet, kuri vārti ir aizvērti

Sāciet ar testu, kas izņem VPN no attēla: pievienojiet divas parastas ierīces vienam SSID un mēģiniet no vienas sasniegt otru pēc adreses. Ja tas neizdodas, piekļuves punkts izolē un neviens VPN iestatījums to nelabos. Ja tas izdodas, pārejiet pie klienta un palaidiet ip route get 192.168.1.50 Linux vai Find-NetRoute -RemoteIPAddress 192.168.1.50 Windows; izvade nosauc saskarni, kuru pakete izmantos.

Kad maršruts rāda uz Wi-Fi saskarni, pakete iziet nešifrēta un jautājums kļūst, vai piekļuves punkts un resursdatora ugunsmūris to atļauj. Kad maršruts rāda uz tuneli, galamērķis tiek sūtīts VPN serverim, kas ir nepareizi ierīcei tajā pašā LAN un parasti nozīmē, ka tuneļa atļauto saraksts ir pārāk plašs.

Tiešs savienojums ar printera portu ir labāks tests nekā atklāšanas saraksts. nc -vz 192.168.1.50 9100 Linux vai Test-NetConnection 192.168.1.50 -Port 9100 PowerShell pasaka, vai adrese vispār ir sasniedzama, pirms jebkura lietojumprogrammas līmeņa savienošana pāriem nonāk diskusijā.

Izvēlieties labojumu tīklam, kurā atrodaties

Viesnīcas vai viesu tīklā izolācija ir tīša, un jums nevajadzētu mēģināt to pārvarēt. Uzskatiet vietējo ierīci par nesasniedzamu, izmantojiet VPN, lai sasniegtu resursdatoru, kas var drukāt vai kopīgot, un pārstājiet uzskatīt SSID par LAN.

Mājās izolācijas izslēgšana galvenajā SSID ir pamatota, ja ierīces ir jūsu, kamēr viesu SSID paliek izolēts. Iestatījums dzīvo piekļuves punkta bezvadu konfigurācijā, un tam tur ir vieta, nevis katras klienta ugunsmūra izņēmumos.

Birojā pieņemiet, ka piekļuves punkts, VLAN un resursdatora ugunsmūris visi ir tīši. Eskalējiet ar testu rezultātiem, nevis lūdziet izslēgt izolāciju, jo tīkls, kas atdala klientus, parasti kaut ko aizsargā.

Pārbaudiet lietojumprogrammu, ne tikai ping

Veiksmīgs ping pierāda ceļu, nevis pakalpojumu. Printeri bieži pieņem neapstrādātu 9100 vai IPP uz 631, bet atsakās no atklāšanas, un failu koplietošanai vajag 445 un strādājošu nosaukumu izšķiršanu. Apstipriniet portu, ko izmanto lietojumprogramma, pēc tam vēlreiz mēģiniet faktisko uzdevumu ierīcē.

Turiet abus slāņus atsevišķi savās piezīmēs: ko atļauj Wi-Fi tīkls un ko maršrutē VPN. Nākamreiz, kad ierīce pazūd no saraksta, šis dalījums pateiks, kur vispirms skatīties.