Domáci segment iba cez VPN: vypnite záložnú cestu, nielen SSID

Dáte hostovské SSID na VPN a segment nazvete iba VPN. Potom tunel na dve minúty spadne a zariadenia sa ticho vrátia do bežného WAN. Nič v názve SSID tomu nezabránilo. Segment iba VPN je definovaný tým, čo sa stane, keď je tunel nedostupný, nie označením siete.

Označenie je sľub; politika záložnej cesty je vynútenie.

Mýtus: SSID je hranica

SSID bez vlastnej politiky preposielania je len názov. Hranicou je samostatné rozhranie, VLAN alebo podsiete s vlastným rozsahom DHCP a vlastnými pravidlami. VLAN vám dá hranicu preposielania, ktorú názov Wi-Fi dať nemôže.

Izolácia klientov patrí tiež do návrhu. Dve zariadenia v segmente spolu môžu potrebovať komunikovať, alebo nemusia, a táto voľba by mala byť výslovná, nie zdedená z hostovského profilu.

Zapíšte rozhranie segmentu a rozsah adries, skôr než napíšete jediné pravidlo. Ten jeden riadok zabráni väčšine neskoršieho zmätku.

Mýtus: trasa tunela pokrýva každý protokol

Použite politiku firmvéru na tento segment, aby jeho prevádzka smerujúca do internetu používala tunel. Nastavte vzdialené preposielanie a preklad, ktoré tunel vyžaduje. Ponechajte len prístup k miestnym zdrojom, ktoré segment skutočne potrebuje.

Skontrolujte obe rodiny adries. Ak sa IPv6 tunelem neprenáša, politika sa s ním musí vysporiadať, inak zariadenie s podporou IPv6 nájde priamu trasu, ktorú ste nezamýšľali.

Prepínač núdzového odpojenia len pre IPv4 so zapnutým IPv6 je častý spôsob úniku. Testujte s klientom s podporou IPv6, nie len s notebookom, ktorý máte po ruke.

Mýtus: DNS a koncový bod tunela nasledujú tunel

DNS routera možno generovať lokálne a môže nasledovať vlastnú smerovaciu tabuľku routera, nie politiku segmentu. Rozhodnite, ktorú cestu má tento resolver použiť a čo robí, keď tunel zlyhá. Vlastné pripojenie VPN ku koncovému bodu je ďalšou výnimkou: potrebuje zdokumentovanú vonkajšiu trasu k partnerovi. Nasmerujte toto pripojenie do tunela a nebude sa môcť nadviazať.

Udržujte správu obnovy oddelene od internetového prístupu segmentu. Ak vás zlyhaný partner tiež uzamkne mimo routera, premenili ste výpadok tunela na návštevu na mieste. Udržujte tento prístup v riadiacej sieti, nie v segmente iba VPN.

Čo z neho skutočne robí iba VPN

Zablokujte bežné preposielanie do WAN pre segment vždy, keď je tunel dole. Práve toto pravidlo, nie SSID, robí označenie pravdivým. Otestujte to neškodnou prevádzkou zo zariadenia v segmente.

Vykonajte tri kontroly: normálna prevádzka tunelom, povolený test zlyhania s tunelom dole a obnova, keď sa vráti. Potvrďte, že iný domáci segment si celý čas udržiava svoju zamýšľanú trasu. Zdokumentujte všetky priame výnimky, inak označenie skryje cesty, ktoré už nepamätáte.

Krátky záznam o segmente, zvolenom tuneli a výnimkách vám poskytne konkrétne kontroly po tom, čo aktualizácia firmvéru zmení poradie pravidiel alebo správanie resolvera. Recept klienta WireGuard pre pfSense je užitočný odkaz pre stranu tunela, nie náhrada politiky segmentu.