Punkt dostępowy Wi-Fi za bramą VPN: zachowaj jedną sieć LAN

Mostkowany punkt dostępowy czy drugi segment routowany? Różnica polega na tym, kto posiada adresację, DNS i tunel, a to decyduje, gdzie mieszka polityka.

Klienci bezprzewodowi mogą siedzieć za VPN, a punkt dostępowy nie wie nic o tunelu. Zmostkuj radio do sieci LAN bramy, pozwól bramie posiadać adresację i tunel, a każde urządzenie w Wi-Fi dziedziczy tę samą politykę. Alternatywa, drugi segment routowany z własną bramą, to inny projekt z innym trybem awarii.

Te dwa rozwiązania są mylone, bo oba stawiają pudełko między internetem a twoimi urządzeniami. Porównanie, co posiada każde z nich, to najszybszy sposób wyboru.

Dwa sposoby umieszczenia VPN przed Wi-Fi

W układzie mostkowanym punkt dostępowy przenosi ramki między radiem a segmentem przewodowym i nic więcej: jedna podsieć, jeden organ adresowy, jeden router realizujący politykę. W układzie routowanym drugie pudełko ma własne adresy, własny zakres DHCP i własną trasę domyślną, więc ruch przekracza kolejną granicę, zanim dotrze do tunelu. Projekt mostkowany sprawia, że każde urządzenie bezprzewodowe wygląda lokalnie dla bramy, dlatego jeden zestaw reguł obejmuje je wszystkie. Projekt routowany daje segment do przemyślenia i drugie miejsce, w którym polityka może pójść źle.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Wybierz mostkowanie, gdy wymogiem jest, aby urządzenia bezprzewodowe używały tego samego tunelu co przewodowe. Wybierz routing, gdy chcesz segment, który można wyizolować, albo gdy drugie pudełko już istnieje jako router.

Co mostkowany układ naprawdę zmienia

Mostkowanie usuwa warstwę tłumaczenia i konkurencyjną bramę domyślną, a dodaje problem zarządzania. Punkt dostępowy nadal potrzebuje adresu, do którego można dotrzeć, co proces dostawcy zwykle załatwia przez główną sieć LAN. Jego usługa DHCP musi być wyłączona, inaczej dwa organy będą rozdawać sprzeczne dzierżawy. Brama zachowuje tunel, ustawienia resolvera i decyzję o tym, co się dzieje, gdy tunel padnie, więc polityka mieszka dokładnie w jednym miejscu.

Radio nie dziedziczy niczego z tego automatycznie z tunelu. Po prostu przestaje dodawać warstwy, które by to zasłoniły.

Gdzie pasuje drugi segment routowany

Segment routowany zasługuje na swoją złożoność, gdy urządzenia za nim wymagają innego traktowania niż reszta sieci LAN. Sieć gości, laboratorium lub grupa klientów, które zawsze muszą wychodzić przez określony kraj, to wszystko powody, by postawić router na drodze. Ceną jest drugi organ adresowy, druga zapora, którą trzeba utrzymywać spójnie, oraz trasa powrotna z głównej sieci LAN, jeśli ktoś tam musi dotrzeć do segmentu. To obowiązki, a nie szczegóły konfiguracji.

Częstym błędem jest zbudowanie wersji routowanej przez przypadek, przy ponownym użyciu routera, który nadal prowadzi własny DHCP i tłumaczenie. Daje to podwójne tłumaczenie i politykę, której nikt nie potrafi prześledzić.

Testuj z klienta Wi-Fi, nie z bramy

Udane żądanie na bramie dowodzi, że tunel działa dla bramy. Prawdziwym pytaniem jest, czy przekazywany ruch klienta bezprzewodowego go używa, a to trzeba obserwować z klienta. Poniższe polecenia sprawdzają adres klienta, jego trasę i adres widziany przez usługę zdalną.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adres wewnątrz sieci LAN bramy potwierdza, że most przekazuje ramki, zamiast je tłumaczyć. Trasa, której pierwszym skokiem jest brama, potwierdza, że klient nie uzyskał drugiej trasy domyślnej z innego miejsca. Sprawdzenie adresu wyjściowego odpowiada na prawdziwe pytanie, a krótki ślad pokazuje, czy pierwsze skoki są oczekiwane. Jeśli adres klienta pochodzi z innego zakresu, pierwszym podejrzanym jest zabłąkany serwer DHCP.

Zapisz rolę każdego pudełka, jego adres i organ DHCP. Diagram z trzema liniami wystarczy i rozstrzyga większość sporów o to, gdzie należy reguła.

Powiązane artykuły