Heimesegment berre for VPN: slå av reservevegen, ikkje berre SSID-en

Du set gjeste-SSID-en på VPN-en og kallar segmentet berre-VPN. Så fell tunnelen i to minutt, og einingane går stille tilbake til vanleg WAN. Ingenting i SSID-namnet hindra det. Eit berre-VPN-segment blir definert av kva som skjer når tunnelen ikkje er tilgjengeleg, ikkje av etiketten til nettet.

Etiketten er eit løfte; reservevegpolitikken er handhevinga.

Myte: SSID-en er grensa

Ein SSID utan eigen videresendingspolitikk er berre eit namn. Grensa er eit eige grensesnitt, VLAN eller subnett, med eige DHCP-område og eigne reglar. Eit VLAN gjev deg ei videresendingsgrense som eit Wi-Fi-namn ikkje kan gje.

Klientisolering høyrer også med i designet. To einingar i segmentet må kanskje snakke saman, eller kanskje ikkje, og det valet bør vere eksplisitt i staden for arva frå ein gjesteprofil.

Skriv ned grensesnittet og adresseområdet til segmentet før du skriv ein einaste regel. Den eine linja hindrar det meste av den seinare forvirringa.

Myte: tunnelruta dekkjer alle protokollar

Bruk fastvarepolitikken på segmentet slik at internettrafikken brukar tunnelen. Konfigurer videresendinga og omsetjinga som tunnelen krev. Hald berre den lokale ressurstilgangen segmentet faktisk treng.

Kontroller begge adressefamiliane. Viss IPv6 ikkje blir ført gjennom tunnelen, må politikken handtere det, elles finn ei IPv6-kapabel eining ei direkte rute du ikkje meinte.

Ein kill switch berre for IPv4 med IPv6 aktivert er ein vanleg måte å leke på. Test med ein IPv6-kapabel klient, ikkje berre med laptoppen du har for handa.

Myte: DNS og tunnelendepunktet følgjer tunnelen

Rutar-DNS kan genererast lokalt og følgje rutaren si eiga rutetabell, ikkje politikken til segmentet. Avgjer kva veg den resolveren skal bruke og kva han gjer når tunnelen feilar. Sjølve endepunktforbindinga til VPN-en er eit anna unntak: ho treng den dokumenterte ytre ruta til peeren. Send den forbindinga inn i tunnelen, og ho kan ikkje kome opp.

Hald gjenopprettingsadministrasjon skild frå internettilgangen til segmentet. Viss ein mislukka peer også låser deg ute frå rutaren, har du gjort eit tunnelutfall til eit besøk på staden. Hald den tilgangen på eit administrasjonsnett, ikkje på berre-VPN-segmentet.

Kva som faktisk gjer det til berre-VPN

Blokker vanleg WAN-videresending for segmentet når tunnelen er nede. Det er den regelen, ikkje SSID-en, som gjer etiketten sann. Test det med ufarleg trafikk frå ei eining i segmentet.

Køyr tre kontrollar: normal drift gjennom tunnelen, den tillatne feiltesten med tunnelen nede, og gjenoppretting når han kjem tilbake. Stadfest at eit anna hushaldssegment held si eiga tiltenkte rute heile tida. Dokumenter eventuelle direkte unntak, elles skjuler etiketten ruter du ikkje lenger hugsar.

Ei kort registrering av segmentet, den valde tunnelen og unntaka gjev deg konkrete kontrollar etter at ei fastvareoppdatering endrar regelrekkjefølgje eller resolveråtferd. pfSense WireGuard-klientoppskrifta er ei nyttig referanse for tunnelsida, ikkje ei erstatning for segmentpolitikken.