Segment de acasă doar VPN: oprește calea de rezervă, nu doar SSID-ul

Pui SSID-ul de oaspeți pe VPN și numești segmentul doar-VPN. Apoi tunelul cade timp de două minute și dispozitivele se întorc în liniște la WAN-ul obișnuit. Nimic din numele SSID-ului nu a împiedicat asta. Un segment doar-VPN este definit de ceea ce se întâmplă când tunelul nu este disponibil, nu de eticheta rețelei.

Eticheta este o promisiune; politica de rezervă este punerea în aplicare.

Mit: SSID-ul este granița

Un SSID fără propria politică de redirecționare este doar un nume. Granița este o interfață, VLAN sau subrețea separată, cu propriul interval DHCP și propriile reguli. Un VLAN îți dă o graniță de redirecționare pe care un nume Wi-Fi nu o poate da.

Izolarea clienților face și ea parte din proiect. Două dispozitive din segment pot avea nevoie să comunice între ele sau nu, iar acea alegere ar trebui să fie explicită, nu moștenită dintr-un profil de oaspete.

Notează interfața și intervalul de adrese ale segmentului înainte de a scrie o singură regulă. Acea linie evită cea mai mare parte a confuziei ulterioare.

Mit: ruta tunelului acoperă fiecare protocol

Aplică politica firmware-ului acelui segment, astfel încât traficul său către internet să folosească tunelul. Configurează redirecționarea și traducerea la distanță de care are nevoie tunelul. Păstrează doar accesul la resursele locale de care segmentul are cu adevărat nevoie.

Verifică ambele familii de adrese. Dacă IPv6 nu este transportat prin tunel, politica trebuie să se ocupe de el, altfel un dispozitiv compatibil IPv6 va găsi o rută directă pe care nu o voiai.

Un întrerupător de urgență doar pentru IPv4 cu IPv6 activat este o modalitate obișnuită de a scăpa date. Testează cu un client compatibil IPv6, nu doar cu laptopul pe care îl ai la îndemână.

Mit: DNS-ul și punctul final al tunelului urmează tunelul

DNS-ul routerului poate fi generat local și poate urma propriul tabel de rutare al routerului, nu politica segmentului. Decide ce cale ar trebui să folosească acel resolver și ce face când tunelul eșuează. Conexiunea propriului punct final al VPN este o altă excepție: are nevoie de ruta externă documentată către partener. Direcționează acea conexiune în tunel și nu va putea porni.

Ține administrarea recuperării separată de accesul la internet al segmentului. Dacă un partener eșuat te blochează și afară din router, ai transformat o pană de tunel într-o vizită la fața locului. Ține acel acces într-o rețea de management, nu pe segmentul doar-VPN.

Ce îl face de fapt doar-VPN

Blochează redirecționarea obișnuită către WAN pentru segment ori de câte ori tunelul este jos. Acea regulă, nu SSID-ul, face eticheta adevărată. Testeaz-o cu trafic inofensiv de la un dispozitiv din segment.

Fă trei verificări: funcționarea normală prin tunel, testul de eșec permis cu tunelul jos și recuperarea când revine. Confirmă că un alt segment al gospodăriei își păstrează ruta prevăzută tot timpul. Documentează orice excepție directă, altfel eticheta ascunde căi pe care nu le mai ții minte.

O scurtă înregistrare a segmentului, a tunelului ales și a excepțiilor îți oferă verificări concrete după ce o actualizare de firmware schimbă ordinea regulilor sau comportamentul resolverului. Rețeta de client WireGuard pentru pfSense este o referință utilă pentru partea de tunel, nu un substitut al politicii segmentului.