Il-Wi-Fi tal-mistednin għadu juża r-rotta prinċipali: agħtih ħruġ tiegħu stess

Ħloqt netwerk tal-mistednin, żidt rotta għalih, u l-mistednin għadhom joħorġu mill-konnessjoni normali tal-internet tiegħek. Il-mina hija attiva, il-LAN prinċipali taħdem, u l-apparati tal-mistednin jirrappurtaw indirizz fil-firxa li assegnajt, għalhekk xejn ma jidher miksur. Dak li normalment jonqos mhix rotta iżda selettur: ir-router jiddeċiedi t-triq qabel ma jqis minn liema interface wasal il-pakkett, u sakemm xi ħaġa ma taqbilx b’mod espliċitu mat-traffiku tal-mistednin, dak it-traffiku jiret l-default. Is-soluzzjoni hija segment, regola ta’ politika u triq ta’ tweġiba, f’dak l-ordni.

Is-sintomu: il-mistednin għadhom joħorġu mill-WAN

L-indikazzjoni hija l-indirizz tal-ħruġ. Apparat tal-mistednin li jasal għall-internet permezz tal-mina jirrapporta l-indirizz tal-fornitur tal-mina, u dak li wiret il-default jirrapporta l-konnessjoni normali tiegħek. Qabbel apparat tal-mistednin u apparat tal-LAN prinċipali ħdejn xulxin, għax il-każ interessanti huwa meta jkunu differenti minn dak li kkonfigurajt u jaqblu ma’ xulxin.

It-tieni indikazzjoni hija n-nuqqas ta’ kwalunkwe traffiku fuq l-interface tal-mina waqt li l-mistednin ikunu qed jibbrawżjaw. Jekk il-kontaturi ma jiċċaqalqux, il-politika qatt ma ġiet applikata, u l-aġġustament tal-mina nnifisha ma jistax jgħin.

Pass 1: segment reali, mhux biss isem

Isem tal-SSID ma joħloqx iżolament. Iċċekkja li n-netwerk tal-mistednin jispiċċa fuq l-interface, il-VLAN jew il-pont tiegħu stess, u li l-firxa tal-indirizzi hija distinta mil-LAN fiduċjuż. F’ħafna punti ta’ aċċess tal-konsumatur, l-SSID tal-mistednin jiġi mgħaqqad fl-istess segment bħal kollox ieħor, li jagħmel il-bqija ta’ dan ix-xogħol impossibbli sakemm dan jiġi kkoreġut.

Imbagħad ikkonferma l-firxa tal-mistednin u s-server DHCP tagħha, u żomm is-settings tas-solver assoċjati ma’ dak is-segment minflok mar-router kollu. Subnet tal-mistednin li teżisti biss bħala kumment f’regola tal-firewall mhix segment, u r-router mhux se jkollu interface li taqbel miegħu.

Tgħaqqadx il-mistednin fil-LAN prinċipali biex il-VPN tkun aktar faċli biex tikkonfiguraha. Dan jibdel l-iżolament li xtaqt ma’ short-cut tal-irrotar, u dan huwa r-raġuni tas-soltu li netwerk tal-mistednin jispiċċa b’aċċess għall-printer u n-NAS.

Pass 2: agħżel il-mina skont is-sors

It-tabelli tal-irrotar jintgħażlu skont id-destinazzjoni, għalhekk regola li tgħid «ibgħat 0.0.0.0/0 lejn il-mina» tapplika għal kulħadd. L-irrotar ibbażat fuq il-politika jżid dimensjoni oħra: agħżel it-tabella skont l-indirizz tas-sors. Fuq router ibbażat fuq Linux, din hija regola addizzjonali flimkien ma’ tabella dedikata, u l-ordni hija importanti għax tirbaħ l-ewwel regola li taqbel:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Dik l-aħħar kmand tweġib il-mistoqsija direttament: liema interface se juża dan is-sors għal din id-destinazzjoni. Mexxiha qabel u wara l-bidla u tkun taf jekk il-politika daħlitx fis-seħħ mingħajr ma tmiss browser.

Il-biċċa l-kbira tal-firmware tar-router jesprimu l-istess ħaġa bħala regola tal-interface jew għażla tal-gateway ibbażata fuq is-sors. Tkun liema tkun is-sintassi li tuża l-pjattaforma tiegħek, il-prinċipju huwa identiku: qabbel l-interface tad-dħul jew il-prefiss tas-sors, imbagħad issostitwixxi r-rotta biss għal dik il-qabla. Regola li taqbel skont id-destinazzjoni ma tistax tiddistingwi mistieden minn apparat tad-dar.

Pass 3: it-triq ta’ tweġiba u t-traduzzjoni

Pakkett li joħroġ mill-mina irid jerġa’ lura. Jew is-sieħeb tal-mina jaf triq lura lejn il-prefiss tal-mistednin, jew ir-router jittraduċi s-sors tal-mistednin fl-indirizz tal-mina. Agħżel waħda u iktebha, għax il-modi tal-falliment jidhru differenti: triq ta’ ritorn nieqsa tagħti konnessjoni li tistabbilixxi ruħha u qatt ma twieġeb, filwaqt li traduzzjoni nieqsa spiss ma tipproduċi xejn.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Jekk tagħżel it-traduzzjoni, ftakar li s-sieħeb issa jara indirizz wieħed għal kull mistieden, għalhekk kwalunkwe politika għal kull klijent fit-tarf imbiegħed tisparixxi. Jekk minflok iżżomm l-indirizzi, iż-żewġt iċnut jeħtieġu l-prefiss tal-mistednin fl-irrotar u fil-politika tagħhom, li huwa aktar xogħol u aktar prevedibbli.

IPv6 jeħtieġ regola tiegħu stess. Politika miktuba għal IPv4 ma tkoprix il-familja l-oħra, u apparat tal-mistednin b’IPv6 li jaħdem jużaha bil-qalb filwaqt li t-triq IPv4 tiegħek li ġiet irrotata b’attenzjoni tibqa’ bla użu. Irrota ż-żewġ familji jew iddiżattiva IPv6 fuq is-segment tal-mistednin, iżda tassumix li r-regola kkombinata li kitbt tkopri dak li l-apparat fil-fatt jagħmel. Ittestja ma’ klijent li jkollu ż-żewġ familji attivati, għax dak huwa l-każ li d-disinn irid jiflaħ. Laptop li jippreferi IPv6 jidher korrett f’test ta’ IPv4 biss u jnixxi f’dak reali.

Ittestja l-iżolament, mhux biss il-brawżing

Il-brawżing jipprova li l-ħruġ inbidel. Ma jipprovax li s-segment huwa iżolat, u l-iżolament huwa r-raġuni għaliex jeżisti n-netwerk tal-mistednin. Minn apparat tal-mistednin, ipprova tilħaq l-interface amministrattiva tar-router, host tal-LAN fiduċjuż u servizz li għandu jiġi rrifjutat; it-tlieta għandhom ifallu, u l-falliment għandu jkun deċiżjoni ta’ politika mhux timeout li ħadd ma jista’ jispjega.

Imbagħad ittestja apparat tal-LAN prinċipali u kkonferma li l-ħruġ tiegħu ma nbidilx. Din hija r-regressjoni li dan id-disinn jikkawża l-aktar spiss: regola wiesgħa maħsuba għall-mistednin, applikata għal kull interface għax il-qabla nkitbet fuq id-destinazzjoni.

Fl-aħħar, iddeċiedi x’jiġri meta l-mina tkun waqt il-waqfa. Il-mistednin jew ma jiksbu l-ebda internet jew jaqgħu lura għal triq li tapprova, u li tħalli dan mhux deċiż ifisser waqgħa siekta lura għall-konnessjoni normali, li hija eżattament it-tnixxija li l-politika tal-mistednin kellha tipprevjeni. Ir-riċetta tal-irrotar tat-traffiku tal-internet tgħaddi mill-istess għażla tat-triq għal router ibbażat fuq pfSense.

Id-DNS li joriġina mir-router huwa l-każ li jissorprendi n-nies l-aħħar. Jekk il-mistednin jużaw ir-router bħala s-solver tagħhom, il-mistoqsijiet tar-router innifsu jsegwu r-rotta tar-router minflok ir-regola tal-mistednin, għalhekk it-tiftix jista’ joħroġ mill-konnessjoni normali waqt li t-traffiku tal-applikazzjoni ma joħroġx. Żomm is-segment, is-solver u l-politika tal-falliment f’nota waħda, u l-persuna li jmiss tkun tista’ tiċċekkja t-tlieta kollha mingħajr ma terġa’ tiddeduċi d-disinn.