Ponto de acesso Wi-Fi atrás de um gateway VPN: mantenha uma só LAN

Ponto de acesso em ponte ou segundo segmento encaminhado? A diferença é quem possui o endereçamento, o DNS e o túnel, e isso decide onde vive a política.

Clientes sem fio podem ficar atrás de uma VPN sem que o ponto de acesso saiba nada do túnel. Ponha o rádio em ponte para a LAN do gateway, deixe o gateway possuir o endereçamento e o túnel, e cada dispositivo na Wi-Fi herda a mesma política. A alternativa, um segundo segmento encaminhado com o seu próprio gateway, é um desenho diferente com um modo de falha diferente.

Os dois são confundidos porque ambos põem uma caixa entre a internet e os seus dispositivos. Comparar o que cada um possui é a forma mais rápida de escolher.

Duas formas de pôr a VPN à frente da Wi-Fi

Numa disposição em ponte, o ponto de acesso transporta tramas entre o rádio e o segmento cablado e nada mais: uma sub-rede, uma autoridade de endereços, um router que aplica a política. Numa disposição encaminhada, a segunda caixa tem endereços próprios, o seu próprio âmbito DHCP e a sua própria rota predefinida, pelo que o tráfego atravessa mais uma fronteira antes de chegar ao túnel. O desenho em ponte faz cada dispositivo sem fio parecer local para o gateway, e é por isso que um único conjunto de regras os cobre a todos. O desenho encaminhado dá-lhe um segmento sobre o qual raciocinar e um segundo lugar onde a política pode correr mal.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Escolha a ponte quando o requisito é que os dispositivos sem fio usem o mesmo túnel dos cablados. Escolha o encaminhamento quando quiser um segmento que possa ser isolado, ou quando a segunda caixa já existir como router.

O que a disposição em ponte realmente muda

A ponte remove uma camada de tradução e um gateway predefinido concorrente, e acrescenta um problema de gestão. O ponto de acesso continua a precisar de um endereço a que consiga chegar, o que o fluxo do fornecedor costuma resolver pela LAN principal. O seu serviço DHCP tem de estar desligado, senão duas autoridades distribuirão concessões em conflito. O gateway guarda o túnel, as definições do resolver e a decisão sobre o que acontece quando o túnel cai, pelo que a política vive exatamente num lugar.

O rádio não herda nada disso automaticamente do túnel. Apenas deixa de acrescentar camadas que o esconderiam.

Onde encaixa um segundo segmento encaminhado

Um segmento encaminhado justifica a sua complexidade quando os dispositivos atrás dele precisam de um tratamento diferente do resto da LAN. Uma rede de convidados, um laboratório ou um conjunto de clientes que têm sempre de sair por um país específico são todos motivos para pôr um router no caminho. O custo é uma segunda autoridade de endereços, uma segunda firewall a manter coerente e uma rota de retorno da LAN principal se alguém lá precisar de chegar ao segmento. São obrigações, não detalhes de configuração.

O erro comum é construir a versão encaminhada por acidente, reutilizando um router que ainda executa o seu próprio DHCP e tradução. Isso produz tradução dupla e uma política que ninguém consegue rastrear.

Teste a partir de um cliente Wi-Fi, não do gateway

Um pedido bem-sucedido no gateway prova que o túnel funciona para o gateway. A verdadeira questão é se o tráfego reencaminhado de um cliente sem fio o usa, e isso tem de ser observado a partir do cliente. Os comandos abaixo verificam o endereço do cliente, a sua rota e o endereço que um serviço remoto vê.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Um endereço dentro da LAN do gateway confirma que a ponte deixa passar tramas em vez de as traduzir. Uma rota cujo primeiro salto é o gateway confirma que o cliente não adquiriu uma segunda rota predefinida noutro sítio. A verificação do endereço de saída responde à verdadeira questão, e o traço curto mostra se os primeiros saltos são os esperados. Se o endereço do cliente vier de um âmbito diferente, o primeiro suspeito é um servidor DHCP extraviado.

Anote o papel de cada caixa, o seu endereço e a autoridade DHCP. Um diagrama de três linhas basta, e resolve a maioria das discussões sobre onde pertence uma regra.

Artigos relacionados