Wi-Fi pre hostí naďalej používa hlavnú trasu: dajte mu vlastný východ

Vytvorili ste hosťovskú sieť, pridali ste pre ňu trasu, a hostia stále odchádzajú cez vaše bežné internetové pripojenie. Tunel je aktívny, hlavná LAN funguje a hosťovské zariadenia hlásia adresu v rozsahu, ktorý ste pridelili, takže nič nevyzerá pokazené. Zvyčajne chýba nie trasa, ale selektor: router rozhodne o ceste skôr, než zváži, cez ktoré rozhranie paket prišiel, a ak niečo výslovne nezodpovedá prevádzke hostí, táto prevádzka zdedí predvolenú hodnotu. Riešením je segment, pravidlo politiky a spiatočná cesta, v tomto poradí.

Príznak: hostia stále odchádzajú cez WAN

Indíciou je výstupná adresa. Hosťovské zariadenie, ktoré sa dostane na internet cez tunel, nahlási adresu poskytovateľa tunela, a zariadenie, ktoré zdedilo predvolenú hodnotu, nahlási vaše bežné pripojenie. Porovnajte vedľa seba hosťovské zariadenie a zariadenie hlavnej LAN, pretože zaujímavý je prípad, keď sa líšia od toho, čo ste nakonfigurovali, a navzájom si zodpovedajú.

Druhou indíciou je absencia akejkoľvek prevádzky na rozhraní tunela, kým hostia prehliadajú. Ak sa počítadlá nehýbu, politika nebola nikdy uplatnená, a ladenie samotného tunela nepomôže.

Krok 1: skutočný segment, nielen názov

Názov SSID nevytvára izoláciu. Skontrolujte, či sa hosťovská sieť končí na vlastnom rozhraní, VLAN alebo moste, a či sa rozsah adries líši od dôveryhodnej LAN. Na mnohých spotrebiteľských prístupových bodoch je hosťovský SSID premostený do toho istého segmentu ako všetko ostatné, čo znemožňuje zvyšok práce, kým sa to neopraví.

Potom potvrďte hosťovský rozsah a jeho DHCP server a nastavenia resolvera držte spojené s týmto segmentom, nie s celým routerom. Hosťovská podsiete, ktorá existuje len ako komentár v pravidle firewallu, nie je segment, a router nebude mať žiadne rozhranie na porovnanie.

Nepremostujte hostí do hlavnej LAN, aby sa VPN ľahšie konfigurovala. To vymení izoláciu, ktorú ste chceli, za skratku v smerovaní, a to je zvyčajný dôvod, prečo hosťovská sieť skončí s prístupom k tlačiarni a NAS.

Krok 2: vyberte tunel podľa zdroja

Smerovacie tabuľky sa vyberajú podľa cieľa, takže pravidlo „pošli 0.0.0.0/0 do tunela“ platí pre všetkých. Smerovanie podľa politiky pridáva druhý rozmer: vyberte tabuľku podľa zdrojovej adresy. Na routeri založenom na Linuxe je to dodatočné pravidlo plus vyhradená tabuľka, a poradie je dôležité, pretože vyhráva prvé zodpovedajúce pravidlo:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Ten posledný príkaz priamo odpovedá na otázku: ktoré rozhranie tento zdroj použije pre tento cieľ. Spustite ho pred zmenou a po nej a budete vedieť, či politika nadobudla účinnosť, bez toho aby ste sa dotkli prehliadača.

Väčšina firmvéru routerov vyjadruje to isté ako pravidlo rozhrania alebo výber brány založený na zdroji. Nech vaša platforma používa akúkoľvek syntax, princíp je rovnaký: zosúlaďte vstupné rozhranie alebo prefix zdroja a potom prepíšte trasu len pre túto zhodu. Pravidlo zosúladené podľa cieľa nedokáže rozlíšiť hosťa od domáceho zariadenia.

Krok 3: spiatočná cesta a preklad

Paket, ktorý odíde cez tunel, sa musí vrátiť. Buď partner tunela pozná cestu späť k hosťovskému prefixu, alebo router preloží hosťovský zdroj na adresu tunela. Vyberte si jedno a zapíšte si to, pretože režimy zlyhania vyzerajú odlišne: chýbajúca spiatočná cesta dáva spojenie, ktoré sa nadviaže a nikdy neodpovie, zatiaľ čo chýbajúci preklad často neprinesie nič.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Ak si vyberiete preklad, pamätajte, že partner teraz vidí jednu adresu pre každého hosťa, takže akákoľvek politika na klienta na vzdialenom konci zmizne. Ak si namiesto toho ponecháte adresy, oba konce potrebujú hosťovský prefix vo svojom smerovaní a politike, čo je viac práce a je to predvídateľnejšie.

IPv6 potrebuje vlastné pravidlo. Politika napísaná pre IPv4 nepokrýva druhú rodinu, a hosťovské zariadenie s fungujúcim IPv6 ho rado použije, kým vaša starostlivo smerovaná cesta IPv4 stojí nevyužitá. Smerujte obe rodiny alebo vypnite IPv6 v hosťovskom segmente, ale nepredpokladajte, že napísané kombinované pravidlo pokrýva to, čo zariadenie skutočne robí. Testujte s klientom, ktorý má zapnuté obe rodiny, pretože to je prípad, ktorý musí dizajn vydržať. Notebook, ktorý uprednostňuje IPv6, vyzerá správne v teste len s IPv4 a v skutočnom uniká.

Testujte izoláciu, nielen prehliadanie

Prehliadanie dokazuje, že výstup sa zmenil. Nedokazuje, že segment je izolovaný, a izolácia je dôvod, prečo hosťovská sieť existuje. Z hosťovského zariadenia skúste dosiahnuť administračné rozhranie routera, hostiteľa dôveryhodnej LAN a službu, ktorá by mala byť odmietnutá; všetky tri by mali zlyhať, a zlyhanie by malo byť rozhodnutím politiky, nie časovým limitom, ktorý nikto nevie vysvetliť.

Potom otestujte zariadenie hlavnej LAN a potvrďte, že jeho výstup sa nezmenil. To je regresia, ktorú tento dizajn spôsobuje najčastejšie: široké pravidlo určené pre hostí, aplikované na každé rozhranie, pretože zhoda bola napísaná podľa cieľa.

Na záver rozhodnite, čo sa stane, keď je tunel vypnutý. Hostia buď nemajú internet, alebo prejdú na cestu, ktorú schvaľujete, a ponechanie tohto nerozhodnuté znamená tichý návrat k bežnému pripojeniu, čo je presne ten únik, ktorému mala hosťovská politika zabrániť. Recept na smerovanie internetovej prevádzky prechádza rovnakým výberom cesty pre router založený na pfSense.

DNS pochádzajúce z routera je prípad, ktorý ľudí prekvapí ako posledný. Ak hostia používajú router ako resolver, vlastné dotazy routera sledujú trasu routera namiesto hosťovského pravidla, takže vyhľadávania môžu odísť cez bežné pripojenie, zatiaľ čo prevádzka aplikácie nie. Držte segment, resolver a politiku zlyhania v jednej poznámke, a ďalšia osoba bude môcť skontrolovať všetky tri bez toho, aby znova odvodzovala dizajn.