Wi-Fi pristupna točka iza VPN pristupnika: zadržite jednu lokalnu mrežu

Premoštena pristupna točka ili drugi usmjereni segment? Razlika je u tome kome pripadaju adresiranje, DNS i tunel, i to odlučuje gdje živi politika.

Bežični klijenti mogu stajati iza VPN-a, a da pristupna točka ne zna ništa o tunelu. Premostite radio na lokalnu mrežu pristupnika, prepustite pristupniku adresiranje i tunel, i svaki uređaj na Wi-Fi mreži nasljeđuje istu politiku. Alternativa, drugi usmjereni segment s vlastitim pristupnikom, drukčiji je dizajn s drukčijim načinom kvara.

Dvoje se brka jer oboje stavlja kutiju između interneta i vaših uređaja. Usporedba onoga što svako posjeduje najbrži je način da odaberete.

Dva načina da VPN stavite ispred Wi-Fi mreže

U premoštenom rasporedu pristupna točka prenosi okvire između radija i žičanog segmenta i ništa više: jedna podmreža, jedno tijelo za adrese, jedan usmjerivač koji provodi politiku. U usmjerenom rasporedu druga kutija ima vlastite adrese, vlastiti DHCP raspon i vlastitu zadanu rutu, pa promet prelazi još jednu granicu prije nego dođe do tunela. Premošteni dizajn čini svaki bežični uređaj lokalnim za pristupnik, zato jedan skup pravila pokriva sve. Usmjereni dizajn daje vam segment o kojem treba razmišljati i drugo mjesto na kojem politika može poći po zlu.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Odaberite premošteno kad je zahtjev da bežični uređaji koriste isti tunel kao žičani. Odaberite usmjereno kad želite segment koji se može izolirati ili kad druga kutija već postoji kao usmjerivač.

Što premošteni raspored zapravo mijenja

Premošćivanje uklanja sloj prevođenja i konkurentski zadani pristupnik, a dodaje problem upravljanja. Pristupna točka i dalje treba adresu do koje možete doći, što proizvođačev tijek rada obično rješava kroz glavnu lokalnu mrežu. Njezina DHCP usluga mora biti isključena, inače će dva tijela izdavati proturječna najma. Pristupnik zadržava tunel, postavke razrješivača i odluku o tome što se događa kad tunel padne, pa politika živi na točno jednom mjestu.

Radio ništa od toga ne nasljeđuje automatski od tunela. Samo prestaje dodavati slojeve koji bi ga prikrili.

Gdje se uklapa drugi usmjereni segment

Usmjereni segment zaslužuje svoju složenost kad uređaji iza njega trebaju drukčiji tretman od ostatka lokalne mreže. Gostinjska mreža, laboratorij ili skupina klijenata koji uvijek moraju izaći kroz određenu zemlju sve su razlozi da se usmjerivač stavi na put. Cijena je drugo tijelo za adrese, drugo vatrozidno okruženje koje treba održavati usklađenim i povratna ruta iz glavne lokalne mreže ako nekome ondje treba pristup segmentu. To su obveze, a ne pojedinosti konfiguracije.

Uobičajena pogreška je slučajno izgraditi usmjerenu inačicu, ponovno upotrijebivši usmjerivač koji još uvijek vrti vlastiti DHCP i prevođenje. To daje dvostruko prevođenje i politiku koju nitko ne može pratiti.

Testirajte s Wi-Fi klijenta, ne s pristupnika

Uspješan zahtjev na pristupniku dokazuje da tunel radi za pristupnik. Pravo je pitanje koristi li ga proslijeđeni promet bežičnog klijenta, a to se mora promatrati s klijenta. Naredbe u nastavku provjeravaju klijentovu adresu, njegovu rutu i adresu koju vidi udaljena usluga.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adresa unutar pristupnikove lokalne mreže potvrđuje da most propušta okvire umjesto da ih prevodi. Ruta čiji je prvi skok pristupnik potvrđuje da klijent nije dobio drugu zadanu rutu odnekud drugdje. Provjera izlazne adrese odgovara na stvarno pitanje, a kratki trag pokazuje jesu li prvi skokovi očekivani. Ako klijentova adresa dolazi iz drugog raspona, prvi je osumnjičeni zalutali DHCP poslužitelj.

Zapišite ulogu svake kutije, njezinu adresu i tijelo za DHCP. Dijagram s tri crte dovoljan je i rješava većinu rasprava o tome gdje pravilo pripada.

Povezani članci