Pengasingan klien Wi-Fi berbanding akses tempatan VPN: apa yang menyekat anda

Letakkan dua telefon pada SSID tetamu yang sama dan kedua-duanya tidak nampak satu sama lain, namun kedua-duanya sampai ke internet. Tambah klien VPN pada salah satunya dan pencetak tiga meter jauhnya kekal tidak kelihatan, sementara pelayan di benua lain menjawab ping. Tiada apa yang rosak dalam terowong; dua keputusan akses berasingan terlibat, dan hanya satu daripadanya tentang penghalaan. Titik akses memutuskan sama ada klien wayarles boleh bercakap sesama sendiri, dan klien VPN memutuskan destinasi mana yang keluar melalui terowong. Mengelirukan kedua-duanya menghasilkan perubahan konfigurasi yang sia-sia berjam-jam.

Kedua-dua pintu adalah bebas

Pengasingan klien ialah keputusan pensuisan. Titik akses menerima bingkai daripada satu stesen yang bersekutu, melihat destinasi, menyedari destinasi itu stesen lain pada jambatan yang sama, dan menggugurkannya. Alamat IP stesen tidak relevan kepada keputusan itu, dan VPN juga tidak.

Penghalaan ialah keputusan lain yang dibuat pada klien. Jadual laluan VPN memutuskan sama ada paket ke 192.168.1.50 masuk ke terowong atau keluar melalui antara muka Wi-Fi. Jika paket keluar melalui Wi-Fi dan titik akses mengasingkan klien, ia mati di titik akses. Jika paket masuk ke terowong, titik akses tidak pernah melihat destinasi asal dan tidak boleh mengasingkan apa-apa.

Apa yang disekat oleh pengasingan pada titik akses biasa

Pengeluar menghantarnya dengan beberapa nama: pengasingan klien, pengasingan AP, pengasingan stesen, atau rangkaian tetamu yang membayangkannya. Dalam OpenWrt pilihan setiap antara muka ialah isolate di dalam konfigurasi wayarles, seperti yang diterangkan dalam dokumentasi wayarles, dan SSID tetamu biasanya mendapat jambatan serta zon firewall sendiri. Kesannya ialah bingkai unicast antara klien tidak dijambatani, jadi ping, sambungan SMB atau kerja cetak kepada jiran gagal walaupun kedua-dua peranti menunjukkan isyarat penuh.

Protokol penemuan paling dahulu dan paling ketara terjejas. mDNS untuk pencetak dan peranti media pergi melalui multicast ke 224.0.0.251, SSDP menggunakan 239.255.255.250, dan sama ada bingkai itu melintasi jambatan bergantung kepada pengeluar dan sama ada penukaran multicast kepada unicast diaktifkan. Peranti yang hilang daripada senarai ialah bukti lebih lemah daripada sambungan langsung yang gagal ke alamat yang diketahui.

Apa yang diubah oleh VPN, dan apa yang tidak boleh diubahnya

Terowong penuh mengambil laluan lalai, jadi subrangkaian tempatan hanya dicapai jika klien mengekalkan laluan yang lebih khusus untuknya. Terowong berpecah melakukan sebaliknya dan mengekalkan akses tempatan secara reka bentuk. Tiada satu pun tetapan itu boleh memaksa titik akses yang mengasingkan menghantar bingkai antara dua kliennya, sebab itu membenarkan trafik tempatan dalam klien VPN perlu tetapi tidak mencukupi.

Kes sebaliknya sama biasa. Titik akses membenarkan trafik sesama rakan, klien VPN mengecualikan subrangkaian tempatan daripada terowong, dan pencetak masih tidak menjawab kerana firewall hos menganggap rangkaian Wi-Fi sebagai awam. Tiga lapisan, tiga nilai lalai berbeza, dan hanya laluan kelihatan dalam kebanyakan log VPN.

Kenal pasti pintu mana yang tertutup

Mulakan dengan ujian yang mengeluarkan VPN daripada gambaran: sambungkan dua peranti biasa ke SSID yang sama dan cuba capai satu daripada yang lain melalui alamat. Jika gagal, titik akses mengasingkan dan tiada tetapan VPN akan membetulkannya. Jika berjaya, beralih ke klien dan jalankan ip route get 192.168.1.50 di Linux atau Find-NetRoute -RemoteIPAddress 192.168.1.50 di Windows; output menamakan antara muka yang akan digunakan oleh paket.

Apabila laluan menunjuk ke antara muka Wi-Fi, paket keluar tanpa penyulitan dan persoalannya menjadi sama ada titik akses dan firewall hos membenarkannya. Apabila laluan menunjuk ke terowong, destinasi dihantar ke pelayan VPN, yang salah untuk peranti pada LAN yang sama dan biasanya bermakna senarai dibenarkan terowong terlalu luas.

Sambungan langsung ke port pencetak ialah ujian lebih baik daripada senarai penemuan. nc -vz 192.168.1.50 9100 di Linux atau Test-NetConnection 192.168.1.50 -Port 9100 dalam PowerShell memberitahu sama ada alamat itu boleh dicapai sama sekali, sebelum sebarang pasangan peringkat aplikasi masuk ke perbincangan.

Pilih pembaikan untuk rangkaian tempat anda berada

Pada rangkaian hotel atau tetamu, pengasingan memang disengajakan dan anda tidak patut cuba mengatasinya. Anggap peranti tempatan sebagai tidak boleh dicapai, gunakan VPN untuk sampai ke hos yang boleh mencetak atau berkongsi, dan berhenti menganggap SSID sebagai LAN.

Di rumah, mematikan pengasingan pada SSID utama adalah wajar apabila peranti itu milik anda, sementara SSID tetamu kekal terasing. Tetapan itu tinggal dalam konfigurasi wayarles titik akses, dan di situlah tempatnya, bukan dalam pengecualian firewall pada setiap klien.

Di pejabat, anggap titik akses, VLAN dan firewall hos semuanya disengajakan. Eskalasi dengan keputusan ujian dan bukannya meminta pengasingan dimatikan, kerana rangkaian yang memisahkan klien biasanya melindungi sesuatu.

Sahkan aplikasi, bukan hanya ping

Ping yang berjaya membuktikan laluan, bukan perkhidmatan. Pencetak sering menerima 9100 mentah atau IPP pada 631 tetapi menolak penemuan, dan perkongsian fail memerlukan 445 serta penyelesaian nama yang berfungsi. Sahkan port yang digunakan oleh aplikasi, kemudian cuba semula tugas sebenar pada peranti.

Asingkan kedua-dua lapisan dalam nota anda: apa yang dibenarkan oleh rangkaian Wi-Fi, dan apa yang dihalakan oleh VPN. Lain kali peranti hilang daripada senarai, pemisahan itu memberitahu anda di mana perlu dilihat dahulu.