Izolacija Wi-Fi klijenata nasuprot lokalnom pristupu putem VPN-a: što vas blokira

Stavite dva telefona na isti gostujući SSID i nijedan ne vidi drugi, a oba dolaze do interneta. Dodajte VPN klijent na jedan od njih i pisač tri metra dalje ostaje nevidljiv, dok poslužitelj na drugom kontinentu odgovara na ping. Ništa u tunelu nije pokvareno; u igri su dvije odvojene odluke o pristupu i samo se jedna od njih tiče usmjeravanja. Pristupna točka odlučuje smiju li bežični klijenti razgovarati jedni s drugima, a VPN klijent odlučuje koja odredišta izlaze kroz tunel. Miješanje tih dviju odluka donosi sate besmislenih promjena konfiguracije.

Dva prolaza su neovisna

Izolacija klijenata je odluka prebacivanja. Pristupna točka prihvaća okvir od jedne pridružene stanice, gleda odredište, primjećuje da je odredište druga stanica na istom mostu i odbacuje ga. IP adresa stanice nije relevantna za tu odluku, a ni VPN.

Usmjeravanje je druga odluka koja se donosi na klijentu. VPN tablica usmjeravanja odlučuje ulazi li paket za 192.168.1.50 u tunel ili izlazi kroz Wi-Fi sučelje. Ako paket izlazi kroz Wi-Fi, a pristupna točka izolira klijente, umire na pristupnoj točki. Ako paket ulazi u tunel, pristupna točka nikad ne vidi izvorno odredište i ne može ništa izolirati.

Što izolacija blokira na tipičnoj pristupnoj točki

Proizvođači to isporučuju pod nekoliko naziva: izolacija klijenata, izolacija AP-a, izolacija stanica ili gostujuća mreža koja je podrazumijeva. U OpenWrtu je opcija za pojedino sučelje isolate unutar bežične konfiguracije, kako je opisano u dokumentaciji za bežične mreže, a gostujući SSID obično dobiva vlastiti most i zonu vatrozida. Učinak je da se unicast okviri između klijenata ne prenose preko mosta, pa ping, SMB veza ili posao ispisa prema susjedu propada iako oba uređaja pokazuju pun signal.

Protokoli za otkrivanje trpe prvi i najvidljivije. mDNS za pisače i medijske uređaje ide multicastom na 224.0.0.251, SSDP rabi 239.255.255.250, a to prelaze li ti okviri most ovisi o proizvođaču i o tome je li uključena pretvorba multicasta u unicast. Uređaj koji nedostaje na popisu slabiji je dokaz od neuspjele izravne veze na poznatu adresu.

Što VPN mijenja, a što ne može promijeniti

Puni tunel preuzima zadanu rutu, pa se lokalne podmreže dosežu samo ako klijent za njih zadrži konkretniju rutu. Razdvojeni tuneli rade suprotno i po dizajnu čuvaju lokalni pristup. Nijedna od tih postavki ne može natjerati izolirajuću pristupnu točku da prenese okvir između dva svoja klijenta, zato je dopuštanje lokalnog prometa u VPN klijentu nužno, ali ne i dovoljno.

Obrnut slučaj jednako je čest. Pristupna točka dopušta promet između klijenata, VPN klijent isključuje lokalnu podmrežu iz tunela, a pisač i dalje ne odgovara jer vatrozid hosta tretira Wi-Fi mrežu kao javnu. Tri sloja, tri različite zadane vrijednosti, a samo je ruta vidljiva u većini VPN zapisa.

Utvrdite koja su vrata zatvorena

Počnite testom koji uklanja VPN iz slike: spojite dva obična uređaja na isti SSID i pokušajte s jednoga doći na drugi po adresi. Ako to propadne, pristupna točka izolira i nijedna VPN postavka to neće popraviti. Ako uspije, prijeđite na klijent i pokrenite ip route get 192.168.1.50 na Linuxu ili Find-NetRoute -RemoteIPAddress 192.168.1.50 na Windowsu; izlaz navodi sučelje koje će paket rabiti.

Kad ruta pokazuje na Wi-Fi sučelje, paket izlazi nešifriran i pitanje postaje dopuštaju li to pristupna točka i vatrozid hosta. Kad ruta pokazuje na tunel, odredište se šalje VPN poslužitelju, što je pogrešno za uređaj na istoj lokalnoj mreži i obično znači da je popis dopuštenoga u tunelu preširok.

Izravna veza na port pisača bolji je test od popisa za otkrivanje. nc -vz 192.168.1.50 9100 na Linuxu ili Test-NetConnection 192.168.1.50 -Port 9100 u PowerShellu kaže je li adresa uopće dosežna, prije nego što ikakvo uparivanje na razini aplikacije uđe u raspravu.

Odaberite popravak za mrežu u kojoj se nalazite

Na hotelskoj ili gostujućoj mreži izolacija je namjerna i ne treba je pokušavati svladati. Tretirajte lokalni uređaj kao nedosežan, rabite VPN da dođete do hosta koji može ispisivati ili dijeliti i prestanite SSID tretirati kao lokalnu mrežu.

Doma je isključivanje izolacije na glavnom SSID-u razumno kad su uređaji vaši, dok gostujući SSID ostaje izoliran. Postavka živi u bežičnoj konfiguraciji pristupne točke i ondje joj je mjesto, a ne u vatrozidnim iznimkama na svakom klijentu.

U uredu pretpostavite da su pristupna točka, VLAN i vatrozid hosta sve namjerni. Eskalirajte s rezultatima testova umjesto da tražite da se izolacija isključi, jer mreža koja razdvaja klijente obično nešto štiti.

Provjerite aplikaciju, ne samo ping

Uspješan ping dokazuje put, ne uslugu. Pisači često prihvaćaju sirovi 9100 ili IPP na 631, ali odbijaju otkrivanje, a dijeljenje datoteka treba 445 plus ispravno razrješavanje imena. Potvrdite port koji aplikacija rabi, pa pokušajte stvarni zadatak na uređaju ponovno.

Držite dva sloja odvojeno u svojim bilješkama: što Wi-Fi mreža dopušta i što VPN usmjerava. Sljedeći put kad uređaj nestane s popisa, ta podjela kaže gdje prvo gledati.