Titik akses Wi-Fi di belakang gateway VPN: kekalkan satu LAN

Titik akses dijambatani atau segmen dihalakan kedua? Bezanya ialah siapa yang memiliki pengalamatan, DNS dan terowong, dan itu menentukan di mana dasar itu hidup.

Klien tanpa wayar boleh berada di belakang VPN tanpa titik akses mengetahui apa-apa tentang terowong. Jambatani radio ke LAN gateway, biarkan gateway memiliki pengalamatan dan terowong, dan setiap peranti pada Wi-Fi mewarisi dasar yang sama. Alternatifnya, segmen dihalakan kedua dengan gateway sendiri, ialah reka bentuk berbeza dengan mod kegagalan berbeza.

Kedua-duanya dikelirukan kerana kedua-duanya meletakkan kotak antara internet dan peranti anda. Membandingkan apa yang dimiliki setiap satu ialah cara terpantas untuk memilih.

Dua cara meletakkan VPN di hadapan Wi-Fi

Dalam susun atur dijambatani, titik akses membawa bingkai antara radio dan segmen berwayar dan tidak lebih: satu subnet, satu pihak berkuasa alamat, satu penghala yang melaksanakan dasar. Dalam susun atur dihalakan, kotak kedua mempunyai alamat sendiri, skop DHCP sendiri dan laluan lalai sendiri, jadi trafik melintasi satu lagi sempadan sebelum sampai ke terowong. Reka bentuk dijambatani menjadikan setiap peranti tanpa wayar kelihatan setempat kepada gateway, sebab itulah satu set peraturan meliputi semuanya. Reka bentuk dihalakan memberi anda segmen untuk difikirkan dan tempat kedua di mana dasar boleh tersasar.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Pilih dijambatani apabila keperluan ialah peranti tanpa wayar menggunakan terowong yang sama seperti peranti berwayar. Pilih dihalakan apabila anda mahu segmen yang boleh diasingkan, atau apabila kotak kedua sudah wujud sebagai penghala.

Apa yang sebenarnya diubah oleh susun atur dijambatani

Penjambatan membuang lapisan terjemahan dan gateway lalai yang bersaing, serta menambah masalah pengurusan. Titik akses masih memerlukan alamat yang boleh anda capai, yang biasanya diuruskan oleh aliran kerja vendor melalui LAN utama. Perkhidmatan DHCP-nya mesti dimatikan, jika tidak dua pihak berkuasa akan mengeluarkan pajakan yang bercanggah. Gateway menyimpan terowong, tetapan penyelesai dan keputusan tentang apa yang berlaku apabila terowong terputus, jadi dasar itu hidup di tepat satu tempat.

Radio tidak mewarisi apa-apa daripada itu secara automatik daripada terowong. Ia hanya berhenti menambah lapisan yang akan menyembunyikannya.

Di mana segmen dihalakan kedua sesuai

Segmen dihalakan berbaloi dengan kerumitannya apabila peranti di belakangnya memerlukan layanan berbeza daripada seluruh LAN. Rangkaian tetamu, makmal, atau sekumpulan klien yang mesti sentiasa keluar melalui negara tertentu semuanya sebab untuk meletakkan penghala di laluan. Kosnya ialah pihak berkuasa alamat kedua, tembok api kedua yang perlu dikekalkan konsisten, dan laluan balik dari LAN utama jika seseorang di sana perlu mencapai segmen itu. Itu kewajipan, bukan butiran konfigurasi.

Kesilapan biasa ialah membina versi dihalakan secara tidak sengaja, menggunakan semula penghala yang masih menjalankan DHCP dan terjemahannya sendiri. Itu menghasilkan terjemahan berganda dan dasar yang tiada siapa dapat mengesannya.

Uji dari klien Wi-Fi, bukan dari gateway

Permintaan yang berjaya pada gateway membuktikan terowong berfungsi untuk gateway. Soalan sebenar ialah sama ada trafik yang dimajukan oleh klien tanpa wayar menggunakannya, dan itu mesti diperhatikan dari klien. Arahan di bawah memeriksa alamat klien, laluannya dan alamat yang dilihat oleh perkhidmatan jauh.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Alamat di dalam LAN gateway mengesahkan jambatan itu melalukan bingkai dan bukannya menterjemahkannya. Laluan yang hop pertamanya ialah gateway mengesahkan klien tidak memperoleh laluan lalai kedua dari tempat lain. Semakan alamat keluar menjawab soalan sebenar, dan jejak pendek menunjukkan sama ada hop pertama seperti yang dijangka. Jika alamat klien datang dari skop lain, suspek pertama ialah pelayan DHCP yang sesat.

Catat peranan setiap kotak, alamatnya dan pihak berkuasa DHCP. Rajah tiga baris sudah cukup, dan ia menyelesaikan kebanyakan perdebatan tentang di mana sesuatu peraturan terletak.

Artikel berkaitan