Wi-Fi-klientisolering kontra lokal VPN-tilgang: kva som blokkerer deg

Set to telefonar på same gjeste-SSID, og ingen av dei ser den andre, men begge når internett. Legg til ein VPN-klient på éin av dei, og skrivaren tre meter unna blir verande usynleg medan ein tenar på ein annan kontinent svarar på ping. Ingenting er øydelagt i tunnelen; det er to separate tilgangsavgjerder med i spelet, og berre éi av dei handlar om rutar. Tilgangspunktet avgjer om trådlause klientar kan snakke saman, og VPN-klienten avgjer kva destinasjonar som forlèt tunnelen. Å blande dei to gir timar med fåfengde konfigurasjonsendringar.

Dei to portane er uavhengige

Klientisolering er ei svitsjeavgjerd. Tilgangspunktet tek imot ein ramme frå éin tilknytt stasjon, ser på målet, legg merke til at målet er ein annan stasjon på same bru, og slepper han. IP-adressa til stasjonen er irrelevant for den avgjerda, og VPN-en òg.

Ruting er ei anna avgjerd, teken på klienten. Rutetabellen til VPN-en avgjer om ein pakke til 192.168.1.50 går inn i tunnelen eller ut via Wi-Fi-grensesnittet. Går pakken ut via Wi-Fi og tilgangspunktet isolerer klientar, døyr han ved tilgangspunktet. Går pakken inn i tunnelen, ser tilgangspunktet aldri den opphavlege destinasjonen og kan ikkje isolere noko.

Kva isolering blokkerer på eit typisk tilgangspunkt

Leverandørar sender dette under fleire namn: klientisolering, AP-isolering, stasjonsisolering eller eit gjestenettverk som antydar det. I OpenWrt er valet per grensesnitt isolate inne i den trådlause konfigurasjonen, som skildra i den trådlause dokumentasjonen, og eit gjeste-SSID får vanlegvis si eiga bru og brannmurssone. Effekten er at unicast-rammer mellom klientar ikkje blir brubyggja, så ein ping, ei SMB-tilkopling eller ein utskriftsjobb til ein nabo feilar sjølv om begge einingane viser fullt signal.

Oppdagingsprotokollar lid først og mest synleg. mDNS for skrivarar og medieeiningar går med multicast til 224.0.0.251, SSDP brukar 239.255.255.250, og om desse rammene kryssar brua kjem an på leverandøren og på om multicast-til-unicast-konvertering er slått på. Ei eining som manglar på ei liste er svakare prov enn ei mislukka direkte tilkopling til ei kjend adresse.

Kva VPN-en endrar, og kva han ikkje kan endre

Ein full tunnel tek standardruta, så lokale subnett blir berre nådde om klienten held på ei meir spesifikk rute for dei. Splitttunnelar gjer det motsette og bevarar lokal tilgang ved design. Ingen av innstillingane kan tvinge eit isolerande tilgangspunkt til å senda ein ramme mellom to av klientane sine, difor er det nødvendig, men ikkje tilstrekkeleg, å tillate lokal trafikk i VPN-klienten.

Det motsette tilfellet er like vanleg. Tilgangspunktet tillèt trafikk mellom jamlike, VPN-klienten held det lokale subnettet utanfor tunnelen, og skrivaren svarar framleis ikkje fordi brannmuren på verten handsamar Wi-Fi-nettverket som offentleg. Tre lag, tre ulike standardverdiar, og berre ruta er synleg i dei fleste VPN-loggene.

Finn ut kva port som er lukka

Start med ein test som tek VPN-en ut av biletet: kople to vanlege einingar til same SSID og prøv å nå den eine frå den andre via adresse. Feilar det, isolerer tilgangspunktet, og ingen VPN-innstilling rettar det. Lukkast det, gå til klienten og køyr ip route get 192.168.1.50 på Linux eller Find-NetRoute -RemoteIPAddress 192.168.1.50 på Windows; utdata nemner grensesnittet pakken vil bruke.

Når ruta peikar på Wi-Fi-grensesnittet, går pakken ut ukryptert, og spørsmålet blir om tilgangspunktet og brannmuren på verten tillèt det. Når ruta peikar på tunnelen, blir destinasjonen send til VPN-tenaren, noko som er feil for ei eining på same LAN og vanlegvis tyder at den tillatne lista til tunnelen er for brei.

Ei direkte tilkopling til porten på skrivaren er ein betre test enn ei oppdagingsliste. nc -vz 192.168.1.50 9100 på Linux eller Test-NetConnection 192.168.1.50 -Port 9100 i PowerShell fortel deg om adressa i det heile kan nåast, før noka paring på applikasjonsnivå kjem inn i diskusjonen.

Vel løysinga for nettverket du er på

På eit hotell- eller gjestenettverk er isolering medvite, og du bør ikkje prøve å omgå ho. Handsame den lokale eininga som utilgjengeleg, bruk VPN-en til å nå ein vert som kan skrive ut eller dele, og slutt å handsame SSID-en som eit LAN.

Heime er det rimeleg å slå av isolering på hovud-SSID-en når einingane er dine, medan gjeste-SSID-en blir verande isolert. Innstillinga bur i den trådlause konfigurasjonen til tilgangspunktet, og der høyrer ho heime, ikkje i brannmurunnatak på kvar klient.

På eit kontor bør du gå ut frå at tilgangspunktet, VLAN-et og brannmuren på verten alle er medvitne. Eskaler med testresultata i staden for å be om at isoleringa blir slått av, fordi eit nettverk som skil klientar vanlegvis vernar om noko.

Stadfest applikasjonen, ikkje berre ping

Ein vellukka ping provar vegen, ikkje tenesta. Skrivarar godtek ofte rå 9100 eller IPP på 631, men nektar oppdaging, og ein filshare krev 445 pluss fungerande namneoppslag. Stadfest porten applikasjonen brukar, og prøv så den faktiske oppgåva på eininga igjen.

Hald dei to laga skilde i notata dine: kva Wi-Fi-nettverket tillèt, og kva VPN-en rutar. Neste gong ei eining forsvinn frå ei liste, fortel den skilnaden deg kvar du skal sjå først.