Thuissegment alleen VPN: zet de terugval uit, niet alleen de SSID

Je zet het gast-SSID op de VPN en noemt het segment alleen-VPN. Dan valt de tunnel twee minuten weg en de apparaten keren stil terug naar de gewone WAN. Niets in de SSID-naam voorkwam dat. Een alleen-VPN-segment wordt gedefinieerd door wat er gebeurt als de tunnel niet beschikbaar is, niet door het label van het netwerk.

Het label is een belofte; het terugvalbeleid is de handhaving.

Mythe: de SSID is de grens

Een SSID zonder eigen doorstuurbeleid is alleen een naam. De grens is een aparte interface, VLAN of subnet, met een eigen DHCP-scope en eigen regels. Een VLAN geeft je een doorstuurgrens die een Wi-Fi-naam niet kan geven.

Clientisolatie hoort ook bij het ontwerp. Twee apparaten op het segment moeten misschien met elkaar praten, of niet, en die keuze moet expliciet zijn in plaats van geërfd van een gastprofiel.

Schrijf de interface en het adresbereik van het segment op voordat je één regel schrijft. Die ene regel voorkomt het grootste deel van de latere verwarring.

Mythe: de tunnelroute dekt elk protocol

Pas het firmwarebeleid toe op dat segment zodat het internetverkeer de tunnel gebruikt. Configureer de doorgifte en vertaling op afstand die de tunnel vereist. Behoud alleen de toegang tot lokale resources die het segment echt nodig heeft.

Controleer beide adresfamilies. Als IPv6 niet door de tunnel wordt gedragen, moet het beleid ermee omgaan, anders vindt een IPv6-capabel apparaat een directe route die je niet bedoelde.

Een killswitch alleen voor IPv4 met IPv6 ingeschakeld is een veelvoorkomende manier om te lekken. Test met een IPv6-capabele client, niet alleen met de laptop die je bij de hand hebt.

Mythe: DNS en het tunnel-eindpunt volgen de tunnel

Router-DNS kan lokaal worden gegenereerd en de eigen routingtabel van de router volgen, niet het beleid van het segment. Bepaal welk pad die resolver moet gebruiken en wat hij doet als de tunnel faalt. De eigen eindpuntverbinding van de VPN is een andere uitzondering: die heeft de gedocumenteerde buitenroute naar de peer nodig. Stuur die verbinding de tunnel in en hij komt niet omhoog.

Houd herstelbeheer gescheiden van de internettoegang van het segment. Als een mislukte peer je ook nog buiten de router sluit, heb je een tunnelstoring omgezet in een bezoek ter plaatse. Houd die toegang op een beheernetwerk, niet op het alleen-VPN-segment.

Wat maakt het echt alleen-VPN

Blokkeer gewone WAN-doorgifte voor het segment wanneer de tunnel omlaag is. Die regel, niet de SSID, maakt het label waar. Test het met onschadelijk verkeer vanaf een apparaat in het segment.

Voer drie controles uit: normale werking via de tunnel, de toegestane storingstest met de tunnel omlaag, en herstel wanneer hij terugkomt. Bevestig dat een ander huishoudsegment zijn eigen bedoelde route de hele tijd behoudt. Documenteer eventuele directe uitzonderingen, anders verbergt het label paden die je niet meer herinnert.

Een korte registratie van het segment, de gekozen tunnel en de uitzonderingen geeft je specifieke controles nadat een firmware-update de regelorde of het resolvergedrag verandert. Het pfSense WireGuard-clientrecept is een nuttige referentie voor de tunnelkant, geen vervanging voor het segmentbeleid.