Домашний сегмент только через VPN: отключите запасной путь, а не только SSID

Вы помещаете гостевой SSID в VPN и называете сегмент только VPN. Потом туннель падает на две минуты, и устройства тихо возвращаются в обычный WAN. Ничто в имени SSID этому не помешало. Сегмент только VPN определяется тем, что происходит, когда туннель недоступен, а не меткой сети.

Метка — это обещание; политика резервного пути — это исполнение.

Миф: SSID — это граница

SSID без собственной политики пересылки — просто имя. Граница — это отдельный интерфейс, VLAN или подсеть со своей зоной DHCP и своими правилами. VLAN даёт границу пересылки, которую имя Wi-Fi дать не может.

Изоляция клиентов тоже входит в проект. Двум устройствам в сегменте может понадобиться общаться друг с другом, а может и нет, и этот выбор должен быть явным, а не унаследованным из гостевого профиля.

Запишите интерфейс и диапазон адресов сегмента, прежде чем написать хотя бы одно правило. Эта одна строка предотвращает большую часть дальнейшей путаницы.

Миф: маршрут туннеля охватывает каждый протокол

Примените политику прошивки к этому сегменту, чтобы его трафик в интернет шёл через туннель. Настройте удалённую пересылку и трансляцию, которых требует туннель. Оставьте только доступ к локальным ресурсам, которые сегменту действительно нужны.

Проверьте оба семейства адресов. Если IPv6 не передаётся через туннель, политика должна это обрабатывать, иначе устройство с поддержкой IPv6 найдёт прямой маршрут, который вы не планировали.

Аварийный переключатель только для IPv4 при включённом IPv6 — распространённый способ утечки. Проверяйте клиентом с поддержкой IPv6, а не только ноутбуком, который под рукой.

Миф: DNS и конечная точка туннеля следуют за туннелем

DNS роутера может создаваться локально и следовать собственной таблице маршрутизации роутера, а не политике сегмента. Решите, какой путь должен использовать этот резолвер и что он делает при отказе туннеля. Собственное соединение VPN с конечной точкой — ещё одно исключение: ему нужен документированный внешний маршрут до пира. Направьте это соединение в туннель, и оно не поднимется.

Держите администрирование восстановления отдельно от интернет-доступа сегмента. Если отказавший пир ещё и заблокирует вам доступ к роутеру, вы превратили сбой туннеля в выезд на место. Держите этот доступ в сети управления, а не в сегменте только VPN.

Что на самом деле делает его только VPN

Блокируйте обычную пересылку в WAN для сегмента всякий раз, когда туннель лежит. Именно это правило, а не SSID, делает метку правдивой. Проверьте его безвредным трафиком с устройства в сегменте.

Выполните три проверки: нормальную работу через туннель, разрешённый тест отказа при лежащем туннеле и восстановление, когда он вернётся. Убедитесь, что другой домашний сегмент всё это время сохраняет свой предполагаемый маршрут. Документируйте любые прямые исключения, иначе метка скроет пути, которые вы уже не помните.

Короткая запись о сегменте, выбранном туннеле и исключениях даёт конкретные проверки после того, как обновление прошивки изменит порядок правил или поведение резолвера. Рецепт клиента WireGuard для pfSense — полезная справка для стороны туннеля, а не замена политики сегмента.