गेस्ट Wi-Fi मुख्य मार्ग प्रयोग गरिरहन्छ: यसलाई आफ्नै बाहिर जाने बाटो दिनुहोस्

तपाईंले गेस्ट नेटवर्क बनाउनुभयो, यसका लागि मार्ग थप्नुभयो, तर पाहुनाहरू अझै तपाईंको सामान्य इन्टरनेट जडानबाट बाहिर जाँदैछन्। सुरुङ चालु छ, मुख्य LAN काम गर्छ, र गेस्ट यन्त्रहरूले तपाईंले तोक्नुभएको दायराको ठेगाना रिपोर्ट गर्छन्, त्यसैले केही पनि बिग्रिएको देखिँदैन। सामान्यतया हराइरहेको कुरा मार्ग होइन तर चयनकर्ता हो: राउटरले प्याकेट कुन इन्टरफेसबाट आयो भनी विचार गर्नुअघि नै बाटो तय गर्छ, र यदि केही स्पष्ट रूपमा गेस्ट ट्राफिकसँग मिलेन भने त्यो ट्राफिकले पूर्वनिर्धारितलाई उत्तराधिकारमा पाउँछ। समाधान एउटा खण्ड, एउटा नीति नियम र एउटा प्रतिक्रिया मार्ग हो, त्यही क्रममा।

लक्षण: पाहुनाहरू अझै WAN बाट बाहिर जान्छन्

संकेत बाहिर जाने ठेगाना हो। सुरुङबाट इन्टरनेट पुग्ने गेस्ट यन्त्रले सुरुङ प्रदायकको ठेगाना रिपोर्ट गर्नेछ, र पूर्वनिर्धारित उत्तराधिकारमा पाएको यन्त्रले तपाईंको सामान्य जडान रिपोर्ट गर्नेछ। गेस्ट यन्त्र र मुख्य LAN यन्त्रलाई छेउछाउमा तुलना गर्नुहोस्, किनकि रोचक कुरा तपाईंले कन्फिगर गरेकोभन्दा फरक भएर एकअर्कासँग मिल्दा हुन्छ।

दोस्रो संकेत पाहुनाहरू ब्राउज गर्दा सुरुङ इन्टरफेसमा कुनै ट्राफिक नहुनु हो। काउन्टरहरू सर्दैनन् भने नीति कहिल्यै लागू भएको छैन, र सुरुङ आफैलाई समायोजन गर्नाले सहयोग गर्दैन।

चरण 1: नाम मात्र होइन, वास्तविक खण्ड

SSID नामले अलगाव सिर्जना गर्दैन। गेस्ट नेटवर्क आफ्नै इन्टरफेस, VLAN वा ब्रिजमा टुंगिन्छ कि, र ठेगाना दायरा विश्वसनीय LAN भन्दा फरक छ कि जाँच्नुहोस्। धेरै उपभोक्ता पहुँच बिन्दुहरूमा, गेस्ट SSID अरू सबैसँगै उही खण्डमा ब्रिज गरिन्छ, जसले त्यो सुधार नगरेसम्म यो कामको बाँकी असम्भव बनाउँछ।

त्यसपछि गेस्ट दायरा र यसको DHCP सर्भर पुष्टि गर्नुहोस्, र रिजोल्भर सेटिङहरू सम्पूर्ण राउटरसँग होइन, त्यो खण्डसँग जोडेर राख्नुहोस्। फायरवाल नियमको टिप्पणीको रूपमा मात्र रहेको गेस्ट सबनेट खण्ड होइन, र राउटरसँग मिलाउन कुनै इन्टरफेस हुनेछैन।

VPN कन्फिगर गर्न सजिलो होस् भनेर पाहुनाहरूलाई मुख्य LAN मा ब्रिज नगर्नुहोस्। त्यसले तपाईंले चाहेको अलगावलाई राउटिङ सर्टकटसँग साट्छ, र गेस्ट नेटवर्क प्रिन्टर र NAS सम्म पुग्ने सामान्य कारण यही हो।

चरण 2: स्रोत अनुसार सुरुङ छान्नुहोस्

राउटिङ तालिकाहरू गन्तव्य अनुसार छानिन्छन्, त्यसैले «0.0.0.0/0 सुरुङमा पठाउनुहोस्» भन्ने नियम सबैलाई लागू हुन्छ। नीति-आधारित राउटिङले दोस्रो आयाम थप्छ: स्रोत ठेगाना अनुसार तालिका छान्नुहोस्। Linux-आधारित राउटरमा, त्यो अतिरिक्त नियम र समर्पित तालिका हो, र क्रम महत्त्वपूर्ण छ किनकि पहिलो मिल्ने नियम जित्छ:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

त्यो अन्तिम आदेशले प्रश्नको सिधा उत्तर दिन्छ: यो स्रोतले यो गन्तव्यका लागि कुन इन्टरफेस प्रयोग गर्नेछ। परिवर्तन अघि र पछि यो चलाउनुहोस्, र ब्राउजर छुनु नपर्ने गरी नीति लागू भयो कि भएन थाहा पाउनुहुनेछ।

अधिकांश राउटर फर्मवेयरले त्यही कुरा इन्टरफेस नियम वा स्रोत-आधारित गेटवे छनोटको रूपमा व्यक्त गर्छन्। तपाईंको प्लेटफर्मले जुनसुकै सिन्ट्याक्स प्रयोग गरे पनि सिद्धान्त एउटै हो: इनपुट इन्टरफेस वा स्रोत प्रिफिक्ससँग मिलाउनुहोस्, त्यसपछि त्यही मिलानका लागि मात्र मार्ग ओभरराइड गर्नुहोस्। गन्तव्य अनुसार मिल्ने नियमले पाहुना र घरायसी यन्त्र छुट्याउन सक्दैन।

चरण 3: प्रतिक्रिया मार्ग र अनुवाद

सुरुङबाट बाहिर जाने प्याकेट फर्केर आउनुपर्छ। या त सुरुङ साथी गेस्ट प्रिफिक्ससम्म फर्कने मार्ग जान्दछ, वा राउटरले गेस्ट स्रोतलाई सुरुङ ठेगानामा अनुवाद गर्छ। एउटा छान्नुहोस् र लेख्नुहोस्, किनकि असफलताका ढाँचा फरक देखिन्छन्: फर्कने मार्ग नभए जडान स्थापित हुन्छ तर कहिल्यै जवाफ दिँदैन, जबकि अनुवाद नभए प्रायः केही पनि उत्पन्न हुँदैन।

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

यदि तपाईंले अनुवाद छान्नुभयो भने, साथीले अब प्रत्येक पाहुनाका लागि एउटै ठेगाना देख्छ भन्ने सम्झनुहोस्, त्यसैले टाढाको छेउमा प्रत्येक क्लाइन्टको नीति हराउँछ। यदि ठेगानाहरू कायम राख्नुभयो भने, दुवै छेउलाई आफ्नो राउटिङ र नीतिमा गेस्ट प्रिफिक्स चाहिन्छ, जुन बढी काम र बढी अनुमानयोग्य हुन्छ।

IPv6 लाई आफ्नै नियम चाहिन्छ। IPv4 का लागि लेखिएको नीतिले अर्को परिवार समेट्दैन, र काम गर्ने IPv6 भएको गेस्ट यन्त्रले त्यसलाई खुसीसाथ प्रयोग गर्नेछ, जबकि तपाईंको ध्यानपूर्वक राउट गरिएको IPv4 मार्ग निष्क्रिय रहन्छ। दुवै परिवार राउट गर्नुहोस् वा गेस्ट खण्डमा IPv6 अक्षम गर्नुहोस्, तर तपाईंले लेखेको संयुक्त नियमले यन्त्रले वास्तवमा गर्ने कुरा समेट्छ भनी नमान्नुहोस्। दुवै परिवार सक्षम भएको क्लाइन्टसँग परीक्षण गर्नुहोस्, किनकि डिजाइनले सहनुपर्ने अवस्था त्यही हो। IPv6 लाई प्राथमिकता दिने ल्यापटप IPv4 मात्र परीक्षणमा सही देखिन्छ र वास्तवमा चुहिन्छ।

अलगाव परीक्षण गर्नुहोस्, ब्राउजिङ मात्र होइन

ब्राउजिङले बाहिर जाने बाटो परिवर्तन भएको प्रमाणित गर्छ। यसले खण्ड अलग छ भनी प्रमाणित गर्दैन, र अलगाव नै गेस्ट नेटवर्क हुनुको कारण हो। गेस्ट यन्त्रबाट राउटरको प्रशासन इन्टरफेस, विश्वसनीय LAN होस्ट र अस्वीकार गर्नुपर्ने सेवासम्म पुग्न प्रयास गर्नुहोस्; तीनवटै असफल हुनुपर्छ, र असफलता कसैले व्याख्या गर्न नसक्ने समयसीमा होइन, नीतिको निर्णय हुनुपर्छ।

त्यसपछि मुख्य LAN यन्त्र परीक्षण गर्नुहोस् र यसको बाहिर जाने बाटो परिवर्तन नभएको पुष्टि गर्नुहोस्। यो डिजाइनले सबैभन्दा बढी गर्ने रिग्रेसन यही हो: पाहुनाका लागि भनिएको फराकिलो नियम, हरेक इन्टरफेसमा लागू, किनकि मिलान गन्तव्यमा लेखिएको थियो।

अन्तमा, सुरुङ बन्द हुँदा के हुन्छ भन्ने निर्णय गर्नुहोस्। पाहुनाहरूले या त इन्टरनेट पाउँदैनन् वा तपाईंले स्वीकृत गरेको बाटोमा फर्कन्छन्, र यसलाई अनिर्णित छोड्नु भनेको सामान्य जडानमा शान्त रूपमा फर्कनु हो, जुन गेस्ट नीतिले रोक्न खोजेको चुहावट नै हो। इन्टरनेट ट्राफिकको राउटिङ विधि pfSense-आधारित राउटरका लागि त्यही मार्ग छनोटबाट जान्छ।

राउटरबाट उत्पन्न DNS त्यो विषय हो जसले मानिसहरूलाई अन्तमा चकित पार्छ। पाहुनाहरूले राउटरलाई आफ्नो रिजोल्भरका रूपमा प्रयोग गरे भने, राउटरका आफ्नै प्रश्नहरू गेस्ट नियमको सट्टा राउटरको मार्ग पछ्याउँछन्, त्यसैले अनुप्रयोग ट्राफिक बाहिर नजाँदा खोजी सामान्य जडानबाट बाहिर जान सक्छ। खण्ड, रिजोल्भर र असफलता नीति एउटै टिप्पणीमा राख्नुहोस्, र अर्को व्यक्तिले डिजाइन फेरि निकाल्नु नपरी तीनवटै जाँच गर्न सक्नेछ।