Segment domowy tylko przez VPN: wyłącz ścieżkę zapasową, nie tylko SSID

Umieszczasz SSID gości w VPN i nazywasz segment tylko-VPN. Potem tunel pada na dwie minuty i urządzenia po cichu wracają do zwykłego WAN. Nic w nazwie SSID temu nie zapobiegło. Segment tylko-VPN definiuje się przez to, co się dzieje, gdy tunel jest niedostępny, a nie przez etykietę sieci.

Etykieta to obietnica; polityka zapasowa to egzekwowanie.

Mit: SSID to granica

SSID bez własnej polityki przekazywania to tylko nazwa. Granicą jest osobny interfejs, VLAN lub podsieć z własnym zakresem DHCP i własnymi regułami. VLAN daje granicę przekazywania, której nazwa Wi-Fi dać nie może.

Izolacja klientów również należy do projektu. Dwa urządzenia w segmencie mogą potrzebować rozmawiać ze sobą albo nie, a ten wybór powinien być jawny, a nie odziedziczony z profilu gościa.

Zapisz interfejs i zakres adresów segmentu, zanim napiszesz choć jedną regułę. Ta jedna linia zapobiega większości późniejszego zamieszania.

Mit: trasa tunelu obejmuje każdy protokół

Zastosuj politykę firmware do tego segmentu, aby jego ruch do internetu korzystał z tunelu. Skonfiguruj przekazywanie i tłumaczenie zdalne, których wymaga tunel. Zachowaj tylko dostęp do zasobów lokalnych, których segment naprawdę potrzebuje.

Sprawdź obie rodziny adresów. Jeśli IPv6 nie jest przenoszony przez tunel, polityka musi to obsłużyć, inaczej urządzenie obsługujące IPv6 znajdzie bezpośrednią trasę, której nie zamierzałeś.

Wyłącznik awaryjny tylko dla IPv4 przy włączonym IPv6 to częsty sposób na wyciek. Testuj z klientem obsługującym IPv6, nie tylko z laptopem, który masz pod ręką.

Mit: DNS i punkt końcowy tunelu podążają za tunelem

DNS routera może być generowany lokalnie i podążać za własną tabelą routingu routera, a nie polityką segmentu. Zdecyduj, którą ścieżką ma podążać ten resolver i co robi, gdy tunel zawiedzie. Własne połączenie punktu końcowego VPN to kolejny wyjątek: potrzebuje udokumentowanej trasy zewnętrznej do peera. Skieruj to połączenie do tunelu, a nie będzie mogło się podnieść.

Trzymaj administrację odzyskiwania oddzielnie od dostępu segmentu do internetu. Jeśli nieudany peer zablokuje ci też dostęp do routera, zamieniłeś awarię tunelu w wizytę na miejscu. Trzymaj ten dostęp w sieci zarządzania, a nie w segmencie tylko-VPN.

Co naprawdę czyni go tylko-VPN

Blokuj zwykłe przekazywanie do WAN dla segmentu, gdy tunel jest wyłączony. To ta reguła, a nie SSID, czyni etykietę prawdziwą. Przetestuj ją nieszkodliwym ruchem z urządzenia w segmencie.

Wykonaj trzy kontrole: normalne działanie przez tunel, dozwolony test awarii przy wyłączonym tunelu i odzyskanie, gdy wróci. Potwierdź, że inny segment domowy przez cały czas zachowuje swoją zamierzoną trasę. Udokumentuj wszelkie bezpośrednie wyjątki, inaczej etykieta ukryje ścieżki, których już nie pamiętasz.

Krótki zapis segmentu, wybranego tunelu i wyjątków daje ci konkretne kontrole po tym, jak aktualizacja firmware zmieni kolejność reguł lub zachowanie resolvera. Przepis na klienta WireGuard dla pfSense to przydatne odniesienie dla strony tunelu, a nie zamiennik polityki segmentu.