Punct de acces Wi-Fi în spatele unei porți VPN: păstrați o singură LAN

Punct de acces punte sau al doilea segment rutat? Diferența este cine deține adresarea, DNS-ul și tunelul, iar asta decide unde trăiește politica.

Clienții wireless pot sta în spatele unui VPN fără ca punctul de acces să știe nimic despre tunel. Puneți radioul în punte spre LAN-ul porții, lăsați poarta să dețină adresarea și tunelul, și fiecare dispozitiv din Wi-Fi moștenește aceeași politică. Alternativa, un al doilea segment rutat cu propria poartă, este un alt proiect cu un alt mod de eșec.

Cele două sunt confundate pentru că ambele pun o cutie între internet și dispozitivele dumneavoastră. Compararea a ceea ce deține fiecare este cel mai rapid mod de a alege.

Două moduri de a pune VPN-ul în fața Wi-Fi-ului

Într-o configurație punte, punctul de acces transportă cadre între radio și segmentul cablat și nimic altceva: o subrețea, o autoritate de adrese, un router care aplică politica. Într-o configurație rutată, a doua cutie are adrese proprii, propriul interval DHCP și propria rută implicită, așa că traficul traversează încă o graniță înainte de a ajunge la tunel. Proiectul punte face fiecare dispozitiv wireless să pară local pentru poartă, motiv pentru care un singur set de reguli le acoperă pe toate. Proiectul rutat vă dă un segment la care să vă gândiți și un al doilea loc unde politica poate merge greșit.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Alegeți puntea când cerința este ca dispozitivele wireless să folosească același tunel ca cele cablate. Alegeți rutarea când doriți un segment care poate fi izolat, sau când a doua cutie există deja ca router.

Ce schimbă de fapt configurația punte

Puntea elimină un strat de traducere și o poartă implicită concurentă și adaugă o problemă de administrare. Punctul de acces are în continuare nevoie de o adresă la care să ajungeți, ceea ce fluxul furnizorului aranjează de obicei prin LAN-ul principal. Serviciul său DHCP trebuie să fie oprit, altfel două autorități vor distribui închirieri contradictorii. Poarta păstrează tunelul, setările resolverului și decizia despre ce se întâmplă când tunelul cade, așa că politica trăiește exact într-un singur loc.

Radioul nu moștenește nimic din asta automat de la tunel. Pur și simplu încetează să mai adauge straturi care l-ar ascunde.

Unde se potrivește un al doilea segment rutat

Un segment rutat își merită complexitatea când dispozitivele din spatele lui au nevoie de un tratament diferit față de restul LAN-ului. O rețea de oaspeți, un laborator sau un set de clienți care trebuie să iasă mereu printr-o anumită țară sunt toate motive pentru a pune un router pe traseu. Costul este o a doua autoritate de adrese, un al doilea firewall care trebuie menținut consecvent și o rută de întoarcere din LAN-ul principal dacă cineva de acolo trebuie să ajungă la segment. Sunt obligații, nu detalii de configurare.

Greșeala obișnuită este să construiești versiunea rutată din întâmplare, refolosind un router care încă rulează propriul DHCP și propria traducere. Asta produce traducere dublă și o politică pe care nimeni nu o poate urmări.

Testați de la un client Wi-Fi, nu de la poartă

O cerere reușită pe poartă dovedește că tunelul funcționează pentru poartă. Adevărata întrebare este dacă traficul redirecționat al unui client wireless îl folosește, iar asta trebuie observat de la client. Comenzile de mai jos verifică adresa clientului, ruta lui și adresa pe care o vede un serviciu la distanță.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

O adresă din interiorul LAN-ului porții confirmă că puntea lasă cadrele să treacă în loc să le traducă. O rută al cărei prim salt este poarta confirmă că clientul nu a obținut o a doua rută implicită de altundeva. Verificarea adresei de ieșire răspunde la întrebarea reală, iar urma scurtă arată dacă primii pași sunt cei așteptați. Dacă adresa clientului vine dintr-un alt interval, primul suspect este un server DHCP rătăcit.

Notați rolul fiecărei cutii, adresa ei și autoritatea DHCP. O diagramă cu trei linii este suficientă și rezolvă majoritatea discuțiilor despre unde aparține o regulă.

Articole similare