Wi-Fi tetamu masih menggunakan laluan utama: beri ia jalan keluar sendiri

Anda mencipta rangkaian tetamu, menambah laluan untuknya, dan tetamu masih keluar melalui sambungan internet biasa anda. Terowong aktif, LAN utama berfungsi, dan peranti tetamu melaporkan alamat dalam julat yang anda berikan, jadi tiada apa yang kelihatan rosak. Yang biasanya hilang bukan laluan tetapi pemilih: penghala memutuskan laluan sebelum mempertimbangkan antara muka mana paket tiba, dan melainkan sesuatu sepadan secara eksplisit dengan trafik tetamu, trafik itu mewarisi lalai. Pembetulannya ialah segmen, peraturan dasar dan laluan balasan, dalam urutan itu.

Gejala: tetamu masih keluar melalui WAN

Petunjuknya ialah alamat keluar. Peranti tetamu yang mencapai internet melalui terowong akan melaporkan alamat penyedia terowong, dan yang mewarisi lalai akan melaporkan sambungan biasa anda. Bandingkan peranti tetamu dan peranti LAN utama secara bersebelahan, kerana kes yang menarik ialah apabila kedua-duanya berbeza daripada yang anda konfigurasikan dan sepadan antara satu sama lain.

Petunjuk kedua ialah ketiadaan sebarang trafik pada antara muka terowong semasa tetamu melayari. Jika pembilang tidak bergerak, dasar itu tidak pernah digunakan, dan menyesuaikan terowong itu sendiri tidak dapat membantu.

Langkah 1: segmen sebenar, bukan sekadar nama

Nama SSID tidak mencipta pengasingan. Semak bahawa rangkaian tetamu berakhir pada antara muka, VLAN atau jambatannya sendiri, dan julat alamat berbeza daripada LAN yang dipercayai. Di banyak titik akses pengguna, SSID tetamu dijambatkan ke segmen yang sama dengan segala-galanya, yang menjadikan kerja selebihnya mustahil sehingga itu diperbetulkan.

Kemudian sahkan julat tetamu dan pelayan DHCPnya, dan kekalkan tetapan penyelesai berkaitan dengan segmen itu dan bukan seluruh penghala. Subnet tetamu yang hanya wujud sebagai komen dalam peraturan tembok api bukan segmen, dan penghala tidak akan mempunyai antara muka untuk dipadankan.

Jangan jambatkan tetamu ke LAN utama untuk memudahkan konfigurasi VPN. Itu menukar pengasingan yang anda mahukan dengan jalan pintas penghalaan, dan itulah sebab biasa rangkaian tetamu akhirnya mendapat akses kepada pencetak dan NAS.

Langkah 2: pilih terowong mengikut sumber

Jadual penghalaan dipilih mengikut destinasi, jadi peraturan yang berkata «hantar 0.0.0.0/0 ke terowong» terpakai kepada semua orang. Penghalaan dasar menambah dimensi kedua: pilih jadual mengikut alamat sumber. Pada penghala berasaskan Linux, itu ialah peraturan tambahan serta jadual khusus, dan urutannya penting kerana peraturan pertama yang sepadan menang:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Arahan terakhir itu menjawab soalan secara langsung: antara muka mana yang akan digunakan sumber ini untuk destinasi ini. Jalankannya sebelum dan selepas perubahan dan anda akan tahu sama ada dasar itu berkesan tanpa menyentuh pelayar.

Kebanyakan firmware penghala menyatakan perkara yang sama sebagai peraturan antara muka atau pemilihan gerbang berasaskan sumber. Apa pun sintaks yang digunakan platform anda, prinsipnya sama: padankan antara muka masuk atau awalan sumber, kemudian ganti laluan hanya untuk padanan itu. Peraturan yang sepadan mengikut destinasi tidak dapat membezakan tetamu daripada peranti rumah.

Langkah 3: laluan balasan dan terjemahan

Paket yang keluar melalui terowong mesti kembali. Sama ada rakan terowong mengetahui laluan balik ke awalan tetamu, atau penghala menterjemah sumber tetamu ke alamat terowong. Pilih satu dan catatkannya, kerana mod kegagalan kelihatan berbeza: laluan balik yang hilang memberi sambungan yang terbentuk dan tidak pernah menjawab, manakala terjemahan yang hilang selalunya tidak menghasilkan apa-apa.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Jika anda memilih terjemahan, ingat bahawa rakan kini melihat satu alamat untuk setiap tetamu, jadi sebarang dasar setiap klien di hujung jauh hilang. Jika anda mengekalkan alamat, kedua-dua hujung memerlukan awalan tetamu dalam penghalaan dan dasar mereka, yang lebih banyak kerja dan lebih boleh diramal.

IPv6 memerlukan peraturannya sendiri. Dasar yang ditulis untuk IPv4 tidak meliputi keluarga yang lain, dan peranti tetamu dengan IPv6 yang berfungsi akan menggunakannya dengan senang hati sementara laluan IPv4 anda yang dihalakan dengan teliti terbiar. Halakan kedua-dua keluarga atau lumpuhkan IPv6 pada segmen tetamu, tetapi jangan andaikan peraturan gabungan yang anda tulis meliputi apa yang sebenarnya dilakukan peranti. Uji dengan klien yang mengaktifkan kedua-dua keluarga, kerana itulah kes yang mesti ditahan oleh reka bentuk. Komputer riba yang mengutamakan IPv6 kelihatan betul dalam ujian IPv4 sahaja dan bocor dalam ujian sebenar.

Uji pengasingan, bukan hanya pelayaran

Melayari membuktikan jalan keluar berubah. Ia tidak membuktikan segmen itu terasing, dan pengasingan ialah sebab rangkaian tetamu wujud. Daripada peranti tetamu, cuba capai antara muka pentadbiran penghala, hos LAN yang dipercayai dan perkhidmatan yang sepatutnya ditolak; ketiga-tiganya harus gagal, dan kegagalan itu harus menjadi keputusan dasar bukan had masa yang tiada siapa dapat jelaskan.

Kemudian uji peranti LAN utama dan sahkan jalan keluarnya tidak berubah. Itulah regresi yang paling kerap disebabkan oleh reka bentuk ini: peraturan luas yang dimaksudkan untuk tetamu, digunakan pada setiap antara muka kerana padanan ditulis pada destinasi.

Akhir sekali, tentukan apa yang berlaku apabila terowong mati. Tetamu sama ada tidak mendapat internet atau kembali ke laluan yang anda luluskan, dan membiarkannya tidak ditentukan bermakna kembali senyap ke sambungan biasa, yang merupakan kebocoran yang dasar tetamu bertujuan mencegah. Resipi penghalaan trafik internet melalui pemilihan laluan yang sama untuk penghala berasaskan pfSense.

DNS yang berasal daripada penghala ialah kes yang mengejutkan orang paling akhir. Jika tetamu menggunakan penghala sebagai penyelesai mereka, pertanyaan penghala sendiri mengikut laluan penghala dan bukan peraturan tetamu, jadi carian boleh keluar melalui sambungan biasa sementara trafik aplikasi tidak. Simpan segmen, penyelesai dan dasar kegagalan dalam satu nota, dan orang seterusnya boleh menyemak ketiga-tiganya tanpa memperoleh semula reka bentuk.