Segmento doméstico somente VPN: corte o caminho de reserva, não apenas o SSID

Você coloca o SSID de convidados na VPN e chama o segmento de somente VPN. Então o túnel cai por dois minutos e os dispositivos voltam em silêncio para a WAN comum. Nada no nome do SSID impediu isso. Um segmento somente VPN é definido pelo que acontece quando o túnel não está disponível, não pelo rótulo da rede.

O rótulo é uma promessa; a política de reserva é a aplicação.

Mito: o SSID é a fronteira

Um SSID sem política de encaminhamento própria é apenas um nome. A fronteira é uma interface, VLAN ou sub-rede separada, com seu próprio escopo DHCP e suas próprias regras. Uma VLAN dá a você uma fronteira de encaminhamento que um nome Wi-Fi não pode dar.

O isolamento de clientes também faz parte do projeto. Dois dispositivos no segmento podem precisar conversar entre si, ou não, e essa escolha deve ser explícita em vez de herdada de um perfil de convidado.

Anote a interface e a faixa de endereços do segmento antes de escrever uma única regra. Essa linha evita a maior parte da confusão posterior.

Mito: a rota do túnel cobre todos os protocolos

Aplique a política do firmware a esse segmento para que seu tráfego para a internet use o túnel. Configure o encaminhamento e a tradução remotos que o túnel exige. Mantenha apenas o acesso aos recursos locais de que o segmento realmente precisa.

Verifique as duas famílias de endereços. Se o IPv6 não for transportado pelo túnel, a política precisa lidar com ele, ou um dispositivo compatível com IPv6 encontrará uma rota direta que você não pretendia.

Um interruptor de segurança apenas para IPv4 com IPv6 ativado é uma forma comum de vazar. Teste com um cliente compatível com IPv6, não apenas com o notebook que você tem à mão.

Mito: o DNS e o endpoint do túnel seguem o túnel

O DNS do roteador pode ser gerado localmente e seguir a própria tabela de roteamento do roteador, não a política do segmento. Decida qual caminho esse resolvedor deve usar e o que ele faz quando o túnel falha. A conexão do próprio endpoint da VPN é outra exceção: ela precisa da rota externa documentada até o par. Encaminhe essa conexão para dentro do túnel e ela não vai subir.

Mantenha a administração de recuperação separada do acesso à internet do segmento. Se um par falho também bloquear seu acesso ao roteador, você transformou uma queda do túnel em uma visita ao local. Mantenha esse acesso em uma rede de gerenciamento, não no segmento somente VPN.

O que realmente o torna somente VPN

Bloqueie o encaminhamento normal para a WAN no segmento sempre que o túnel estiver fora do ar. É essa regra, não o SSID, que torna o rótulo verdadeiro. Teste-a com tráfego inofensivo de um dispositivo do segmento.

Faça três verificações: operação normal pelo túnel, o teste de falha permitido com o túnel fora do ar e a recuperação quando ele volta. Confirme que outro segmento da casa mantém sua rota pretendida o tempo todo. Documente qualquer exceção direta, ou o rótulo esconderá caminhos que você não lembra mais.

Um registro curto do segmento, do túnel escolhido e das exceções dá a você verificações específicas depois que uma atualização de firmware mudar a ordem das regras ou o comportamento do resolvedor. A receita de cliente WireGuard para pfSense é uma referência útil para o lado do túnel, não um substituto da política do segmento.