Изоляция клиентов Wi-Fi против локального доступа через VPN: что вас блокирует

Поместите два телефона в один гостевой SSID, и ни один не видит другой, хотя оба выходят в интернет. Добавьте VPN-клиент на одном из них, и принтер в трёх метрах остаётся невидимым, пока сервер на другом континенте отвечает на ping. В туннеле ничего не сломано; здесь участвуют два отдельных решения о доступе, и только одно из них о маршрутизации. Точка доступа решает, могут ли беспроводные клиенты общаться друг с другом, а VPN-клиент решает, какие назначения выходят через туннель. Путаница между этими двумя вещами даёт часы бессмысленных изменений конфигурации.

Два шлюза независимы

Изоляция клиентов — это решение коммутации. Точка доступа принимает кадр от одной ассоциированной станции, смотрит на назначение, замечает, что назначение — другая станция на том же мосту, и отбрасывает кадр. IP-адрес станции для этого решения не важен, как и VPN.

Маршрутизация — другое решение, принимаемое на клиенте. Таблица маршрутов VPN решает, попадёт ли пакет к 192.168.1.50 в туннель или выйдет через интерфейс Wi-Fi. Если пакет выходит через Wi-Fi, а точка доступа изолирует клиентов, он погибает на точке доступа. Если пакет входит в туннель, точка доступа никогда не видит исходное назначение и не может ничего изолировать.

Что блокирует изоляция на типичной точке доступа

Производители поставляют это под несколькими названиями: изоляция клиентов, изоляция AP, изоляция станций или гостевая сеть, которая это подразумевает. В OpenWrt опция для каждого интерфейса — isolate внутри беспроводной конфигурации, как описано в документации по беспроводным сетям, а гостевой SSID обычно получает свой мост и зону брандмауэра. Эффект в том, что unicast-кадры между клиентами не передаются через мост, поэтому ping, соединение SMB или задание печати к соседу не удаётся, хотя оба устройства показывают полный сигнал.

Протоколы обнаружения страдают первыми и наиболее заметно. mDNS для принтеров и медиаустройств идёт multicast на 224.0.0.251, SSDP использует 239.255.255.250, и то, пересекают ли эти кадры мост, зависит от производителя и от того, включено ли преобразование multicast в unicast. Устройство, отсутствующее в списке, — более слабое доказательство, чем неудачное прямое подключение к известному адресу.

Что VPN меняет, а что изменить не может

Полный туннель забирает маршрут по умолчанию, поэтому локальные подсети достигаются только если клиент сохраняет для них более конкретный маршрут. Разделённые туннели делают наоборот и по замыслу сохраняют локальный доступ. Ни одна из настроек не может заставить изолирующую точку доступа передать кадр между двумя её клиентами, поэтому разрешение локального трафика в VPN-клиенте необходимо, но недостаточно.

Обратный случай столь же част. Точка доступа разрешает трафик между клиентами, VPN-клиент исключает локальную подсеть из туннеля, а принтер всё равно не отвечает, потому что брандмауэр хоста считает сеть Wi-Fi публичной. Три слоя, три разных значения по умолчанию, и только маршрут виден в большинстве журналов VPN.

Определите, какой шлюз закрыт

Начните с теста, который убирает VPN из картины: подключите два обычных устройства к одному SSID и попробуйте достичь одно с другого по адресу. Если это не удаётся, точка доступа изолирует, и никакая настройка VPN это не исправит. Если удаётся, перейдите к клиенту и выполните ip route get 192.168.1.50 в Linux или Find-NetRoute -RemoteIPAddress 192.168.1.50 в Windows; вывод называет интерфейс, который будет использовать пакет.

Когда маршрут указывает на интерфейс Wi-Fi, пакет выходит без шифрования, и вопрос становится в том, разрешают ли это точка доступа и брандмауэр хоста. Когда маршрут указывает на туннель, назначение отправляется на VPN-сервер, что неверно для устройства в той же локальной сети и обычно означает, что список разрешённых в туннеле слишком широк.

Прямое подключение к порту принтера — лучший тест, чем список обнаружения. nc -vz 192.168.1.50 9100 в Linux или Test-NetConnection 192.168.1.50 -Port 9100 в PowerShell сообщает, доступен ли адрес вообще, прежде чем в обсуждение войдёт сопряжение на уровне приложения.

Выберите исправление для сети, в которой вы находитесь

В гостиничной или гостевой сети изоляция намеренная, и пытаться обойти её не следует. Считайте локальное устройство недоступным, используйте VPN, чтобы добраться до хоста, который может печатать или делиться, и перестаньте относиться к SSID как к локальной сети.

Дома отключать изоляцию в основном SSID разумно, когда устройства ваши, а гостевой SSID остаётся изолированным. Настройка живёт в беспроводной конфигурации точки доступа, и место ей там, а не в исключениях брандмауэра на каждом клиенте.

В офисе предполагайте, что точка доступа, VLAN и брандмауэр хоста намеренны. Эскалируйте с результатами тестов вместо просьбы отключить изоляцию, потому что сеть, разделяющая клиентов, обычно что-то защищает.

Проверяйте приложение, а не только ping

Успешный ping доказывает путь, а не службу. Принтеры часто принимают необработанный 9100 или IPP на 631, но отказывают в обнаружении, а файловому ресурсу нужны 445 и работающее разрешение имён. Подтвердите порт, который использует приложение, затем повторите реальную задачу на устройстве.

Держите два слоя отдельно в своих заметках: что разрешает сеть Wi-Fi и что маршрутизирует VPN. В следующий раз, когда устройство исчезнет из списка, это разделение подскажет, где смотреть в первую очередь.