Зочны Wi-Fi үндсэн маршрутыг үргэлжлүүлэн ашиглаж байна: түүнд өөрийн гарах замыг өг

Та зочны сүлжээ үүсгэж, түүнд маршрут нэмсэн ч зочдод таны ердийн интернэт холболтоор гарсаар байна. Туннель ажиллаж байна, үндсэн LAN ажиллаж байна, зочны төхөөрөмжүүд таны хуваарилсан мужийн хаягийг мэдээлж байна, тиймээс ямар ч зүйл эвдэрсэн мэт харагдахгүй байна. Ихэвчлэн дутагдаж байгаа нь маршрут биш, харин сонгогч: чиглүүлэгч пакет ямар интерфейсээр ирснийг харгалзахын өмнө замыг шийддэг бөгөөд ямар нэг зүйл зочны трафиктай тодорхой тохирохгүй бол тэр трафик өгөгдмөлийг өвлөнө. Шийдэл нь сегмент, бодлогын дүрэм, буцах зам, энэ дарааллаар.

Шинж тэмдэг: зочдод WAN-аар гарсаар байна

Сэжүүр нь гарах хаяг. Туннелиар интернэтэд хүрэх зочны төхөөрөмж туннелийн үйлчилгээ үзүүлэгчийн хаягийг мэдээлнэ, өгөгдмөлийг өвлөсөн нь таны ердийн холболтыг мэдээлнэ. Зочны төхөөрөмж болон үндсэн LAN төхөөрөмжийг хажуу хажууд нь харьцуул, учир нь сонирхолтой тохиолдол бол тэд таны тохируулснаас ялгаатай байхдаа хоорондоо тохирох үед.

Хоёр дахь сэжүүр нь зочдод хөтөлж байх үед туннелийн интерфейс дээр ямар ч трафик байхгүй байх явдал. Тоолуурууд хөдлөхгүй бол бодлогыг хэзээ ч хэрэглээгүй бөгөөд туннелийг өөрөө тохируулах нь тус болохгүй.

Алхам 1: зөвхөн нэр биш, бодит сегмент

SSID нэр тусгаарлалт үүсгэдэггүй. Зочны сүлжээ өөрийн интерфейс, VLAN эсвэл гүүр дээр төгсдөг эсэх, хаягийн муж нь итгэмжлэгдсэн LAN-аас ялгаатай эсэхийг шалгана уу. Олон хэрэглэгчийн хандалтын цэг дээр зочны SSID-г бусад бүх зүйлтэй нэг сегмент рүү гүүрээр холбодог нь үүнийг засах хүртэл энэ ажлын үлдсэн хэсгийг боломжгүй болгодог.

Дараа нь зочны мужийг болон түүний DHCP серверийг баталгаажуулж, шийдвэрлэгчийн тохиргоог бүх чиглүүлэгчтэй биш, тэр сегменттэй холбоотой байлгаарай. Галт ханын дүрэм дэх тайлбар хэлбэрээр л оршиж байгаа зочны дэд сүлжээ нь сегмент биш бөгөөд чиглүүлэгчид тохируулах интерфейс байхгүй.

VPN-ийг тохируулахад хялбар болгох үүн зочдыг үндсэн LAN руу гүүрээр холбох хэрэггүй. Энэ нь таны хүссэн тусгаарлалтыг чиглүүлэлтийн товчлолоор сольж, зочны сүлжээ принтер болон NAS-д хандах болсон ердийн шалтгаан нь энэ юм.

Алхам 2: эх сурвалжаар туннелийг сонго

Чиглүүлэлтийн хүснэгтүүдийг очих газраар сонгодог тул «0.0.0.0/0-ийг туннель руу илгээ» дүрэм бүх хүнд хамаарна. Бодлогын чиглүүлэлт нь хоёр дахь хэмжээсийг нэмдэг: хүснэгтийг эх хаягаар сонго. Linux-д суурилсан чиглүүлэгч дээр энэ нь нэмэлт дүрэм ба тусдаа хүснэгт бөгөөд эхний тохирсон дүрэм ялдаг тул дараалал чухал:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Тэр сүүлчийн команд асуултад шууд хариулна: энэ эх сурвалж энэ очих газарт ямар интерфейс ашиглах вэ. Үүнийг өөрчлөлтийн өмнө болон дараа ажиллуулбал хөтчид хүрэлгүйгээр бодлого хүчин төгөлдөр болсон эсэхийг мэдэх болно.

Ихэнх чиглүүлэгчийн firmware нь ижил зүйлийг интерфейсийн дүрэм эсвэл эх сурвалжид суурилсан гарцын сонголт хэлбэрээр илэрхийлдэг. Таны платформ ямар синтакс ашигласан ч зарчим ижил: оролтын интерфейс эсвэл эх префикстэй тохируулж, дараа нь зөвхөн тэр тохиролд маршрутыг дарж бич. Очих газраар тохирсон дүрэм зочин болон гэрийн төхөөрөмжийг ялгаж чадахгүй.

Алхам 3: буцах зам ба хөрвүүлэлт

Туннелиар гарсан пакет буцаж ирэх ёстой. Нэг бол туннелийн түнш зочны префикс рүү буцах замыг мэднэ, эсвэл чиглүүлэгч зочны эх сурвалжийг туннелийн хаяг руу хөрвүүлнэ. Нэгийг сонгоод бичиж хадгал, учир нь алдааны горимууд өөр харагдана: буцах зам байхгүй бол холболт тогтох боловч хэзээ ч хариу өгөхгүй, харин хөрвүүлэлт байхгүй бол ихэвчлэн юу ч гарахгүй.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Хэрэв хөрвүүлэлтийг сонговол түнш одоо бүх зочны хувьд нэг хаяг харж байгааг санаарай, тиймээс алслагдсан төгсгөл дэх клиент тус бүрийн бодлого алга болно. Харин хаягуудыг хадгалбал хоёр төгсгөлд өөрсдийн чиглүүлэлт болон бодлогод зочны префикс хэрэгтэй бөгөөд энэ нь илүү их ажил бөгөөд илүү урьдчилан таамаглахуйц.

IPv6-д өөрийн дүрэм хэрэгтэй. IPv4-д зориулж бичсэн бодлого нөгөө гэр бүлийг хамардаггүй бөгөөд ажиллаж байгаа IPv6-тай зочны төхөөрөмж үүнийг баяртайгаар ашиглах бөгөөд таны болгоомжтой чиглүүлсэн IPv4 зам ашиглагдалгүй хоцорно. Хоёр гэр бүлийг чиглүүлэх эсвэл зочны сегмент дээр IPv6-г идэвхгүй болго, гэхдээ бичсэн нэгдсэн дүрэм төхөөрөмжийн бодитоор хийдгийг хамарна гэж бүү бод. Хоёр гэр бүл нь идэвхжсэн клиентээр туршиж үз, учир нь дизайны тэсвэрлэх ёстой тохиолдол нь энэ юм. IPv6-г илүүд үздэг зөөврийн компьютер зөвхөн IPv4 туршилтад зөв харагдаж, бодит туршилтад алдагдана.

Тусгаарлалтыг туршиж үз, зөвхөн хөтлөлт биш

Хөтлөлт нь гарах зам өөрчлөгдсөнийг батална. Энэ нь сегмент тусгаарлагдсаныг батлахгүй бөгөөд зочны сүлжээ байгаа шалтгаан нь тусгаарлалт юм. Зочны төхөөрөмжөөс чиглүүлэгчийн удирдлагын интерфейс, итгэмжлэгдсэн LAN-ийн хост, татгалзах ёстой үйлчилгээнд хүрэхийг оролдоорой; гурвуулаа бүтэлгүйтэх ёстой бөгөөд бүтэлгүйтэл нь хэн ч тайлбарлаж чадахгүй хугацааны хязгаар биш, бодлогын шийдвэр байх ёстой.

Дараа нь үндсэн LAN төхөөрөмжийг туршиж, түүний гарах зам өөрчлөгдөөгүйг батал. Энэ дизайны хамгийн олон удаа үүсгэдэг регресс нь энэ: зочдод зориулсан өргөн дүрэм нь тохирлыг очих газраар бичсэн учраас бүх интерфейсэд хэрэглэгдсэн.

Эцэст нь туннель унтарсан үед юу болохыг шийд. Зочдод интернэт олдохгүй эсвэл таны зөвшөөрсөн зам руу буцна, үүнийг шийдэхгүй орхивол ердийн холболт руу чимээгүй буцахыг илэрхийлнэ, энэ нь зочны бодлого сэргийлэх ёстой байсан алдагдал юм. Интернэт трафикийн чиглүүлэлтийн жор pfSense-д суурилсан чиглүүлэгчийн хувьд ижил замын сонголтоор дамждаг.

Чиглүүлэгчээс үүссэн DNS нь хүмүүсийг хамгийн сүүлд гайхшруулдаг тохиолдол. Хэрэв зочдод чиглүүлэгчийг өөрсдийн шийдвэрлэгч болгон ашиглавал чиглүүлэгчийн өөрийн асуултууд зочны дүрмийг биш, чиглүүлэгчийн маршрутыг дагадаг тул програмын трафик гарахгүй байхад хайлт ердийн холболтоор гарч болно. Сегмент, шийдвэрлэгч, алдааны бодлогыг нэг тэмдэглэлд хадгал, тэгвэл дараагийн хүн дизайныг дахин гаргахгүйгээр гурвыг шалгаж чадна.