Домашен сегмент само преку VPN: исклучете ја резервната патека, не само SSID

Го ставате гостинскиот SSID на VPN и сегментот го нарекувате само-VPN. Потоа тунелот паѓа две минути и уредите тивко се враќаат на обичниот WAN. Ништо во името на SSID не го спречи тоа. Сегментот само-VPN се дефинира со тоа што се случува кога тунелот не е достапен, а не со ознаката на мрежата.

Ознаката е ветување; политиката за резервна патека е спроведувањето.

Мит: SSID е границата

SSID без своја политика за препраќање е само име. Границата е одделен интерфејс, VLAN или подмрежа, со свој DHCP опсег и свои правила. VLAN ви дава граница за препраќање што име на Wi-Fi не може да ја даде.

Изолацијата на клиентите исто така е дел од дизајнот. Два уреда во сегментот можеби треба да разговараат меѓу себе, или можеби не, и тој избор треба да биде експлицитен, а не наследен од гостински профил.

Запишете го интерфејсот и опсегот на адреси на сегментот пред да напишете и едно правило. Таа една линија го спречува најголемиот дел од подоцнежната збунетост.

Мит: маршрутата на тунелот го покрива секој протокол

Применете ја политиката на фирмверот на тој сегмент за неговиот сообраќај кон интернет да го користи тунелот. Конфигурирајте го далечинското препраќање и превод што ги бара тунелот. Задржете само пристапот до локалните ресурси што на сегментот навистина му требаат.

Проверете ги двете семејства на адреси. Ако IPv6 не се пренесува низ тунелот, политиката мора да се справи со него, инаку уред што поддржува IPv6 ќе најде директна маршрута што не ја наменивте.

Прекинувач за заштита само за IPv4 со вклучен IPv6 е вообичаен начин за истекување. Тестирајте со клиент што поддржува IPv6, не само со преносниот сметач што ви е при рака.

Мит: DNS и крајната точка на тунелот го следат тунелот

DNS на рутерот може да се генерира локално и да следи сопствената табела за рутирање на рутерот, а не политиката на сегментот. Одлучете која патека треба да ја користи тој решавач и што прави кога тунелот ќе пропадне. Самата врска на VPN кон крајната точка е уште еден исклучок: ѝ треба документираната надворешна маршрута до партнерот. Насочете ја таа врска во тунелот и таа не може да се подигне.

Држете ја администрацијата за обновување одделно од интернет пристапот на сегментот. Ако неуспешен партнер ве заклучи и надвор од рутерот, сте го претвориле прекинот на тунелот во посета на локација. Држете го тој пристап на управувачка мрежа, а не на сегментот само-VPN.

Што всушност го прави само-VPN

Блокирајте го обичното препраќање кон WAN за сегментот секогаш кога тунелот е исклучен. Токму тоа правило, а не SSID, ја прави ознаката вистинита. Тестирајте го со безопасен сообраќај од уред во сегментот.

Направете три проверки: нормално работење низ тунелот, дозволениот тест за дефект со исклучен тунел и обновување кога ќе се врати. Потврдете дека друг домашен сегмент ја задржува својата предвидена маршрута цело време. Документирајте ги сите директни исклучоци, инаку ознаката ги крие патеките што веќе не ги паметите.

Краток запис за сегментот, избраниот тунел и исклучоците ви дава конкретни проверки откако ажурирање на фирмверот ќе го смени редоследот на правилата или однесувањето на решавачот. Рецептот за клиент WireGuard на pfSense е корисна референца за страната на тунелот, а не замена за политиката на сегментот.