Hjemmesegment kun for VPN: slå av reserveveien, ikke bare SSID-en

Du setter gjeste-SSID-en på VPN-en og kaller segmentet kun-VPN. Så faller tunnelen i to minutter, og enhetene går stille tilbake til vanlig WAN. Ingenting i SSID-navnet hindret det. Et kun-VPN-segment defineres av hva som skjer når tunnelen ikke er tilgjengelig, ikke av nettverkets etikett.

Etiketten er et løfte; reserveveipolitikken er håndhevelsen.

Myte: SSID-en er grensen

En SSID uten egen videresendingspolitikk er bare et navn. Grensen er et eget grensesnitt, VLAN eller subnett, med eget DHCP-område og egne regler. Et VLAN gir deg en videresendingsgrense som et Wi-Fi-navn ikke kan gi.

Klientisolering hører også med i designet. To enheter i segmentet må kanskje snakke sammen, eller kanskje ikke, og det valget bør være eksplisitt i stedet for arvet fra en gjesteprofil.

Skriv ned grensesnittet og adresseområdet til segmentet før du skriver en eneste regel. Den ene linjen hindrer det meste av den senere forvirringen.

Myte: tunnelruten dekker alle protokoller

Bruk fastvarepolitikken på segmentet slik at internettrafikken bruker tunnelen. Konfigurer videresendingen og oversettelsen som tunnelen krever. Behold bare den lokale ressurstilgangen segmentet faktisk trenger.

Kontroller begge adressefamiliene. Hvis IPv6 ikke føres gjennom tunnelen, må politikken håndtere det, ellers finner en IPv6-kapabel enhet en direkte rute du ikke mente.

En kill switch kun for IPv4 med IPv6 aktivert er en vanlig måte å lekke på. Test med en IPv6-kapabel klient, ikke bare med laptopen du har for hånden.

Myte: DNS og tunnelendepunktet følger tunnelen

Ruter-DNS kan genereres lokalt og følge ruterenes egen rutetabell, ikke segmentets politikk. Bestem hvilken vei den resolveren skal bruke og hva den gjør når tunnelen feiler. VPN-ens egen endepunktforbindelse er et annet unntak: den trenger den dokumenterte ytre ruten til peeren. Send den forbindelsen inn i tunnelen, og den kan ikke komme opp.

Hold gjenopprettingsadministrasjon atskilt fra segmentets internettilgang. Hvis en mislykket peer også låser deg ute fra ruteren, har du gjort et tunnelutfall til et besøk på stedet. Hold den tilgangen på et administrasjonsnett, ikke på kun-VPN-segmentet.

Hva som faktisk gjør det til kun-VPN

Blokker vanlig WAN-videresending for segmentet når tunnelen er nede. Det er den regelen, ikke SSID-en, som gjør etiketten sann. Test det med ufarlig trafikk fra en enhet i segmentet.

Kjør tre kontroller: normal drift gjennom tunnelen, den tillatte feiltesten med tunnelen nede, og gjenoppretting når den kommer tilbake. Bekreft at et annet husstandssegment beholder sin tiltenkte rute hele tiden. Dokumenter eventuelle direkte unntak, ellers skjuler etiketten ruter du ikke lenger husker.

En kort registrering av segmentet, den valgte tunnelen og unntakene gir deg konkrete kontroller etter at en fastvareoppdatering endrer regelrekkefølge eller resolveratferd. pfSense WireGuard-klientoppskriften er en nyttig referanse for tunnelsiden, ikke en erstatning for segmentpolitikken.