Точка доступа Wi-Fi за VPN-шлюзом: сохраните одну локальную сеть

Мостовая точка доступа или второй маршрутизируемый сегмент? Разница в том, кому принадлежат адресация, DNS и туннель, и это решает, где живёт политика.

Беспроводные клиенты могут находиться за VPN, а точка доступа при этом ничего не знает о туннеле. Соедините радио мостом с локальной сетью шлюза, оставьте адресацию и туннель шлюзу, и каждое устройство в Wi-Fi унаследует ту же политику. Альтернатива — второй маршрутизируемый сегмент с собственным шлюзом — это другая схема с другим режимом отказа.

Эти два варианта путают, потому что оба ставят коробку между интернетом и вашими устройствами. Сравнение того, чем владеет каждый, — самый быстрый способ выбрать.

Два способа поставить VPN перед Wi-Fi

В мостовой схеме точка доступа передаёт кадры между радио и проводным сегментом и больше ничего: одна подсеть, один орган адресов, один маршрутизатор, выполняющий политику. В маршрутизируемой схеме у второй коробки свои адреса, свой диапазон DHCP и свой маршрут по умолчанию, поэтому трафик пересекает ещё одну границу, прежде чем достичь туннеля. Мостовая схема делает каждое беспроводное устройство локальным для шлюза, и поэтому один набор правил охватывает их все. Маршрутизируемая схема даёт вам сегмент, о котором можно думать, и второе место, где политика может пойти не так.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Выбирайте мост, если требование в том, чтобы беспроводные устройства использовали тот же туннель, что и проводные. Выбирайте маршрутизацию, если нужен сегмент, который можно изолировать, или если вторая коробка уже существует как маршрутизатор.

Что мостовая схема действительно меняет

Мост убирает слой трансляции и конкурирующий шлюз по умолчанию, но добавляет проблему управления. Точке доступа по-прежнему нужен адрес, до которого можно добраться, и процесс поставщика обычно устраивает это через основную локальную сеть. Её служба DHCP должна быть выключена, иначе два органа будут выдавать противоречивые аренды. Шлюз хранит туннель, настройки резолвера и решение о том, что происходит при падении туннеля, поэтому политика живёт ровно в одном месте.

Радио ничего из этого не наследует от туннеля автоматически. Оно просто перестаёт добавлять слои, которые это скрывали бы.

Где уместен второй маршрутизируемый сегмент

Маршрутизируемый сегмент оправдывает свою сложность, когда устройства за ним требуют иного обращения, чем остальная локальная сеть. Гостевая сеть, лаборатория или набор клиентов, которые всегда должны выходить через определённую страну, — всё это причины поставить маршрутизатор на пути. Цена — второй орган адресов, второй межсетевой экран, который нужно держать согласованным, и обратный маршрут из основной локальной сети, если кому-то там нужно добраться до сегмента. Это обязательства, а не детали конфигурации.

Частая ошибка — построить маршрутизируемый вариант случайно, повторно используя маршрутизатор, который всё ещё работает со своим DHCP и трансляцией. Это даёт двойную трансляцию и политику, которую никто не может отследить.

Проверяйте с Wi-Fi-клиента, а не со шлюза

Успешный запрос на шлюзе доказывает, что туннель работает для шлюза. Настоящий вопрос — использует ли его пересылаемый трафик беспроводного клиента, и это нужно наблюдать с клиента. Команды ниже проверяют адрес клиента, его маршрут и адрес, который видит удалённая служба.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Адрес внутри локальной сети шлюза подтверждает, что мост пропускает кадры, а не транслирует их. Маршрут, первый шаг которого — шлюз, подтверждает, что клиент не получил второй маршрут по умолчанию откуда-то ещё. Проверка адреса выхода отвечает на настоящий вопрос, а короткая трассировка показывает, ожидаемы ли первые шаги. Если адрес клиента приходит из другого диапазона, первый подозреваемый — заблудившийся сервер DHCP.

Запишите роль каждой коробки, её адрес и орган DHCP. Схемы из трёх линий достаточно, и она решает большинство споров о том, где место правилу.

Похожие статьи