Wi-Fi prístupový bod za VPN bránou: zachovajte jednu miestnu sieť

Premostený prístupový bod alebo druhý smerovaný segment? Rozdiel je v tom, komu patrí adresovanie, DNS a tunel, a to rozhoduje, kde žije politika.

Bezdrôtoví klienti môžu sedieť za VPN, pričom prístupový bod o tuneli nič nevie. Premostite rádio do miestnej siete brány, nechajte bránu vlastniť adresovanie aj tunel a každé zariadenie na Wi-Fi zdedí rovnakú politiku. Alternatíva, druhý smerovaný segment s vlastnou bránou, je iný návrh s iným režimom zlyhania.

Obe riešenia sa pletú, pretože obe stavajú krabicu medzi internet a vaše zariadenia. Porovnanie toho, čo každé vlastní, je najrýchlejší spôsob voľby.

Dva spôsoby, ako postaviť VPN pred Wi-Fi

V premostenom usporiadaní prístupový bod prenáša rámce medzi rádiom a káblovým segmentom a nič viac: jedna podsietiť, jeden správca adries, jeden smerovač, ktorý uplatňuje politiku. V smerovanom usporiadaní má druhá krabica vlastné adresy, vlastný rozsah DHCP aj vlastnú predvolenú trasu, takže prevádzka prekročí ďalšiu hranicu, kým sa dostane k tunelu. Premostený návrh stavia každé bezdrôtové zariadenie ako miestne pre bránu, a preto ho pokrýva jedna sada pravidiel. Smerovaný návrh vám dáva segment na premýšľanie a druhé miesto, kde sa politika môže pokaziť.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Zvoľte premostenie, ak je požiadavkou, aby bezdrôtové zariadenia používali rovnaký tunel ako káblové. Zvoľte smerovanie, keď chcete segment, ktorý sa dá izolovať, alebo keď druhá krabica už existuje ako smerovač.

Čo premostené usporiadanie skutočne mení

Premostenie odstráni vrstvu prekladu a konkurenčnú predvolenú bránu, ale pridá problém správy. Prístupový bod stále potrebuje adresu, na ktorú sa dostanete, čo pracovný postup výrobcu zvyčajne zariadi cez hlavnú miestnu sieť. Jeho služba DHCP musí byť vypnutá, inak budú dva orgány vydávať protichodné prenájmy. Brána drží tunel, nastavenia prekladača aj rozhodnutie o tom, čo sa stane, keď tunel spadne, takže politika žije presne na jednom mieste.

Rádio z toho nič automaticky od tunela nezdedí. Len prestane pridávať vrstvy, ktoré by to zastierali.

Kam patrí druhý smerovaný segment

Smerovaný segment si svoju zložitosť zaslúži, keď zariadenia za ním potrebujú iné zaobchádzanie ako zvyšok miestnej siete. Hostovská sieť, laboratórium alebo sada klientov, ktorí musia vždy vychádzať cez určitú krajinu, sú všetko dôvody postaviť do cesty smerovač. Cenou je druhý orgán adries, druhý firewall, ktorý treba udržiavať v súlade, a spätná trasa z hlavnej miestnej siete, ak sa odtiaľ niekto potrebuje dostať do segmentu. To sú záväzky, nie detaily konfigurácie.

Častou chybou je postaviť smerovanú verziu omylom, s opätovným použitím smerovača, ktorý stále prevádzkuje vlastný DHCP a preklad. To vedie k dvojitému prekladu a politike, ktorú nikto nedokáže vystopovať.

Testujte z Wi-Fi klienta, nie z brány

Úspešná požiadavka na bráne dokazuje, že tunel funguje pre bránu. Skutočná otázka je, či ju používa preposielaná prevádzka bezdrôtového klienta, a to sa musí pozorovať z klienta. Príkazy nižšie kontrolujú adresu klienta, jeho trasu a adresu, ktorú vidí vzdialená služba.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Adresa vnútri miestnej siete brány potvrdzuje, že most prepúšťa rámce, namiesto toho aby ich prekladal. Trasa, ktorej prvý krok je brána, potvrdzuje, že klient nezískal druhú predvolenú trasu odinakiaľ. Kontrola výstupnej adresy odpovedá na skutočnú otázku a krátka stopa ukazuje, či sú prvé kroky očakávané. Ak adresa klienta pochádza z iného rozsahu, prvým podozrivým je zatúlaný server DHCP.

Zapíšte rolu každej krabice, jej adresu a orgán DHCP. Schéma s tromi čiarami stačí a vyrieši väčšinu sporov o to, kam ktoré pravidlo patrí.

Súvisiace články