Изолација на Wi-Fi клиенти наспроти локален пристап преку VPN: што ве блокира

Ставете два телефона на истиот гостински SSID и ниту еден не го гледа другиот, но двата стигнуваат до интернет. Додадете VPN клиент на еден од нив и печатачот три метри подалеку останува невидлив, додека сервер на друг континент одговара на ping. Ништо во тунелот не е расипано; вклучени се две одделни одлуки за пристап и само едната е за насочување. Пристапната точка одлучува дали безжичните клиенти смеат да разговараат меѓусебно, а VPN клиентот одлучува кои одредишта излегуваат низ тунелот. Мешањето на овие две носи часови бесмислени промени на конфигурацијата.

Двете порти се независни

Изолацијата на клиенти е одлука за комутација. Пристапната точка прима рамка од една поврзана станица, ја гледа одредиштето, забележува дека одредиштето е друга станица на истиот мост и ја отфрла. IP адресата на станицата е неважна за таа одлука, а VPN исто така.

Насочувањето е друга одлука донесена на клиентот. Табелата за насочување на VPN одлучува дали пакетот за 192.168.1.50 влегува во тунелот или излегува низ Wi-Fi интерфејсот. Ако пакетот излезе низ Wi-Fi, а пристапната точка ги изолира клиентите, тој умира кај пристапната точка. Ако пакетот влезе во тунелот, пристапната точка никогаш не го гледа првобитното одредиште и не може ништо да изолира.

Што блокира изолацијата на типична пристапна точка

Производителите го доставуваат под неколку имиња: изолација на клиенти, AP изолација, изолација на станици или гостинска мрежа што ја подразбира. Во OpenWrt опцијата за секој интерфејс е isolate внатре во безжичната конфигурација, како што е опишано во документацијата за безжични мрежи, а гостинскиот SSID обично добива свој мост и зона на огнениот ѕид. Ефектот е што unicast рамките меѓу клиентите не се премостуваат, па ping, SMB врска или задача за печатење до соседот пропаѓа иако двата уреда покажуваат полн сигнал.

Протоколите за откривање страдаат први и највидливо. mDNS за печатачи и медиумски уреди оди преку multicast до 224.0.0.251, SSDP користи 239.255.255.250, а тоа дали тие рамки го преминуваат мостот зависи од производителот и од тоа дали е вклучено претворање од multicast во unicast. Уред што недостасува на список е послаб доказ од неуспешна директна врска до позната адреса.

Што менува VPN и што не може да смени

Целосниот тунел ја презема стандардната рута, па локалните подмрежи се достигнуваат само ако клиентот задржи поспецифична рута за нив. Разделените тунели го прават спротивното и по дизајн го зачувуваат локалниот пристап. Ниту едно од поставувањата не може да присили изолирачка пристапна точка да пренесе рамка меѓу два нејзини клиенти, затоа дозволувањето локален сообраќај во VPN клиентот е нужно, но не и доволно.

Обратниот случај е исто толку чест. Пристапната точка дозволува сообраќај меѓу клиентите, VPN клиентот ја исклучува локалната подмрежа од тунелот, а печатачот сепак не одговара зашто огнениот ѕид на домаќинот ја третира Wi-Fi мрежата како јавна. Три слоја, три различни стандардни вредности, и само рутата е видлива во повеќето VPN дневници.

Откријте која порта е затворена

Започнете со тест што го вади VPN од сликата: поврзете два обични уреда на истиот SSID и обидете се да стигнете од едниот до другиот по адреса. Ако тоа не успее, пристапната точка изолира и ниту едно VPN поставување нема да го поправи. Ако успее, преминете на клиентот и извршете ip route get 192.168.1.50 на Linux или Find-NetRoute -RemoteIPAddress 192.168.1.50 на Windows; излезот го именува интерфејсот што ќе го користи пакетот.

Кога рутата покажува на Wi-Fi интерфејсот, пакетот излегува нешифриран и прашањето станува дали пристапната точка и огнениот ѕид на домаќинот го дозволуваат тоа. Кога рутата покажува на тунелот, одредиштето се праќа на VPN серверот, што е погрешно за уред на истиот LAN и обично значи дека списокот на дозволени во тунелот е преширок.

Директната врска до портата на печатачот е подобар тест од список за откривање. nc -vz 192.168.1.50 9100 на Linux или Test-NetConnection 192.168.1.50 -Port 9100 во PowerShell ви кажува дали адресата воопшто е достапна, пред било какво спарување на ниво на апликација да влезе во дискусијата.

Изберете го исправувањето за мрежата во која сте

На хотелска или гостинска мрежа изолацијата е намерна и не треба да се обидувате да ја надминете. Третирајте го локалниот уред како недостапен, користете VPN за да стигнете до домаќин што може да печати или споделува и престанете да го третирате SSID како LAN.

Дома, исклучувањето на изолацијата на главниот SSID е разумно кога уредите се ваши, додека гостинскиот SSID останува изолиран. Поставувањето живее во безжичната конфигурација на пристапната точка и таму му е местото, а не во исклучоци на огнениот ѕид на секој клиент.

Во канцеларија претпоставете дека пристапната точка, VLAN и огнениот ѕид на домаќинот се сите намерни. Ескалирајте со резултатите од тестовите наместо да барате изолацијата да се исклучи, зашто мрежа што ги одделува клиентите обично штити нешто.

Проверете ја апликацијата, не само ping

Успешен ping го докажува патот, не услугата. Печатачите често прифаќаат суров 9100 или IPP на 631, но одбиваат откривање, а споделувањето датотеки бара 445 плус работно разрешување на имиња. Потврдете ја портата што ја користи апликацијата, потоа обидете се повторно со вистинската задача на уредот.

Држете ги двата слоја одделно во вашите белешки: што дозволува Wi-Fi мрежата и што насочува VPN. Следниот пат кога уред ќе исчезне од список, тоа разделување ќе ви каже каде прво да гледате.