Wi-Fi-toegangspunt achter een VPN-gateway: houd één LAN

Brugged access point of tweede gerouteerd segment? Het verschil is wie adressering, DNS en de tunnel bezit, en dat bepaalt waar het beleid leeft.

Draadloze clients kunnen achter een VPN zitten zonder dat het toegangspunt iets van de tunnel weet. Brug de radio naar het LAN van de gateway, laat de gateway adressering en de tunnel bezitten, en elk apparaat op de Wi-Fi erft hetzelfde beleid. Het alternatief, een tweede gerouteerd segment met zijn eigen gateway, is een ander ontwerp met een andere faalmodus.

De twee worden verward omdat beide een doos tussen het internet en je apparaten zetten. Vergelijken wat elk bezit is de snelste manier om te kiezen.

Twee manieren om de VPN voor de Wi-Fi te zetten

In een brugged opstelling draagt het toegangspunt frames tussen de radio en het bekabelde segment en niets anders: één subnet, één adresautoriteit, één router die het beleid uitvoert. In een gerouteerde opstelling heeft de tweede doos eigen adressen, een eigen DHCP-bereik en een eigen standaardroute, zodat verkeer nog een grens oversteekt voordat het de tunnel bereikt. Het bruggende ontwerp laat elk draadloos apparaat lokaal lijken voor de gateway, waardoor één regelset ze allemaal dekt. Het gerouteerde ontwerp geeft je een segment om over na te denken en een tweede plek waar het beleid mis kan gaan.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Kies brugged wanneer de eis is dat draadloze apparaten dezelfde tunnel gebruiken als bekabelde. Kies gerouteerd wanneer je een segment wilt dat geïsoleerd kan worden, of wanneer de tweede doos al als router bestaat.

Wat de bruggende opstelling werkelijk verandert

Bruggen verwijdert een vertaallaag en een concurrerende standaardgateway, en voegt een beheerprobleem toe. Het toegangspunt heeft nog steeds een adres nodig dat je kunt bereiken, wat de leveranciersworkflow meestal via het hoofd-LAN regelt. De DHCP-dienst moet uit staan, anders delen twee autoriteiten tegenstrijdige leases uit. De gateway houdt de tunnel, de resolverinstellingen en de beslissing over wat er gebeurt als de tunnel wegvalt, dus het beleid leeft op precies één plek.

De radio erft niets daarvan automatisch van de tunnel. Hij stopt alleen met lagen toevoegen die het zouden verbergen.

Waar een tweede gerouteerd segment past

Een gerouteerd segment verdient zijn complexiteit wanneer apparaten erachter een andere behandeling nodig hebben dan de rest van het LAN. Een gastnetwerk, een lab of een groep clients die altijd via een bepaald land moeten uitgaan zijn allemaal redenen om een router in het pad te zetten. De prijs is een tweede adresautoriteit, een tweede firewall die consistent gehouden moet worden, en een retourroute vanaf het hoofd-LAN als iemand daar het segment moet bereiken. Dat zijn verplichtingen, geen configuratiedetails.

De gebruikelijke fout is de gerouteerde versie per ongeluk te bouwen, door een router te hergebruiken die nog zijn eigen DHCP en vertaling draait. Dat levert dubbele vertaling en een beleid dat niemand kan volgen.

Test vanaf een Wi-Fi-client, niet vanaf de gateway

Een geslaagd verzoek op de gateway bewijst dat de tunnel voor de gateway werkt. De echte vraag is of doorgestuurd verkeer van een draadloze client hem gebruikt, en dat moet vanaf de client worden waargenomen. De opdrachten hieronder controleren het adres van de client, zijn route en het adres dat een externe dienst ziet.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Een adres binnen het LAN van de gateway bevestigt dat de brug frames doorlaat in plaats van ze te vertalen. Een route waarvan de eerste hop de gateway is, bevestigt dat de client geen tweede standaardroute van elders heeft gekregen. De controle van het uitgangsadres beantwoordt de echte vraag, en de korte trace laat zien of de eerste hops de verwachte zijn. Als het adres van de client uit een ander bereik komt, is een verdwaalde DHCP-server de eerste verdachte.

Schrijf de rol van elke doos, het adres en de DHCP-autoriteit op. Een diagram met drie lijnen is genoeg, en het beslecht de meeste discussies over waar een regel thuishoort.

Gerelateerde artikelen