Segmen rumah khusus VPN: matikan laluan sandaran, bukan hanya SSID

Anda meletakkan SSID tetamu pada VPN dan memanggil segmen itu khusus VPN. Kemudian terowong terputus selama dua minit dan peranti kembali senyap ke WAN biasa. Tiada apa dalam nama SSID yang menghalangnya. Segmen khusus VPN ditakrifkan oleh apa yang berlaku apabila terowong tidak tersedia, bukan oleh label rangkaian.

Label ialah janji; dasar sandaran ialah penguatkuasaannya.

Mitos: SSID ialah sempadan

SSID tanpa dasar penghantaran sendiri hanyalah nama. Sempadan ialah antara muka, VLAN atau subnset berasingan, dengan skop DHCP sendiri dan peraturannya sendiri. VLAN memberi anda sempadan penghantaran yang tidak boleh diberikan oleh nama Wi-Fi.

Pengasingan klien juga termasuk dalam reka bentuk. Dua peranti pada segmen mungkin perlu bercakap sesama sendiri, atau mungkin tidak, dan pilihan itu haruslah eksplisit dan bukan diwarisi daripada profil tetamu.

Catat antara muka dan julat alamat segmen sebelum anda menulis satu peraturan pun. Satu baris itu menghalang sebahagian besar kekeliruan kemudian.

Mitos: laluan terowong meliputi setiap protokol

Gunakan dasar firmware pada segmen itu supaya trafiknya ke internet menggunakan terowong. Konfigurasikan penghantaran dan terjemahan jauh yang diperlukan terowong. Kekalkan hanya akses sumber tempatan yang benar-benar diperlukan segmen.

Periksa kedua-dua keluarga alamat. Jika IPv6 tidak dibawa melalui terowong, dasar mesti mengendalikannya, jika tidak peranti yang menyokong IPv6 akan menemui laluan langsung yang tidak anda maksudkan.

Suis pembunuh hanya IPv4 dengan IPv6 diaktifkan ialah cara biasa untuk bocor. Uji dengan klien yang menyokong IPv6, bukan hanya dengan komputer riba yang ada di tangan anda.

Mitos: DNS dan titik akhir terowong mengikut terowong

DNS penghala boleh dijana secara tempatan dan mengikut jadual penghalaan penghala itu sendiri, bukan dasar segmen. Tentukan laluan mana yang patut digunakan oleh penyelesai itu dan apa yang dilakukannya apabila terowong gagal. Sambungan titik akhir VPN sendiri ialah pengecualian lain: ia memerlukan laluan luar yang didokumenkan ke rakan. Halakan sambungan itu ke dalam terowong dan ia tidak boleh bangkit.

Asingkan pentadbiran pemulihan daripada akses internet segmen. Jika rakan yang gagal juga mengunci anda keluar daripada penghala, anda telah menukar gangguan terowong menjadi lawatan ke tapak. Kekalkan akses itu pada rangkaian pengurusan, bukan pada segmen khusus VPN.

Apa yang benar-benar menjadikannya khusus VPN

Sekat penghantaran WAN biasa untuk segmen setiap kali terowong turun. Peraturan itulah, bukan SSID, yang menjadikan label itu benar. Ujinya dengan trafik tidak berbahaya daripada peranti pada segmen.

Lakukan tiga pemeriksaan: operasi biasa melalui terowong, ujian kegagalan yang dibenarkan dengan terowong turun, dan pemulihan apabila ia kembali. Sahkan bahawa segmen rumah lain mengekalkan laluannya yang dimaksudkan sepanjang masa. Dokumenkan sebarang pengecualian langsung, jika tidak label itu menyembunyikan laluan yang anda tidak lagi ingat.

Rekod ringkas tentang segmen, terowong yang dipilih dan pengecualian memberi anda pemeriksaan khusus selepas kemas kini firmware mengubah susunan peraturan atau tingkah laku penyelesai. Resipi klien WireGuard pfSense ialah rujukan berguna untuk sisi terowong, bukan pengganti dasar segmen.