Izolácia klientov Wi-Fi verzus lokálny prístup cez VPN: čo vás blokuje

Dajte dva telefóny do tej istej hostovskej SSID a ani jeden nevidí druhý, no oba sa dostanú na internet. Pridajte VPN klienta na jeden z nich a tlačiareň tri metre ďalej zostane neviditeľná, zatiaľ čo server na inom kontinente odpovedá na ping. V tuneli nie je nič pokazené; ide o dve oddelené rozhodnutia o prístupe a iba jedno z nich je o smerovaní. Prístupový bod rozhoduje, či bezdrôtoví klienti môžu hovoriť medzi sebou, a VPN klient rozhoduje, ktoré destinácie opúšťajú tunel. Zámena týchto dvoch vecí prináša hodiny zbytočných zmien konfigurácie.

Dve brány sú nezávislé

Izolácia klientov je rozhodnutie prepínania. Prístupový bod prijme rámec od jednej asociovanej stanice, pozrie sa na cieľ, všimne si, že cieľ je iná stanica na tom istom moste, a rámec zahodí. IP adresa stanice s týmto rozhodnutím nesúvisí, rovnako ako VPN.

Smerovanie je iné rozhodnutie, prijaté na klientovi. Smerovacia tabuľka VPN rozhoduje, či paket pre 192.168.1.50 vstúpi do tunela alebo odíde cez rozhranie Wi-Fi. Ak paket odíde cez Wi-Fi a prístupový bod izoluje klientov, zanikne na prístupovom bode. Ak paket vstúpi do tunela, prístupový bod pôvodný cieľ nikdy neuvidí a nemôže nič izolovať.

Čo izolácia blokuje na typickom prístupovom bode

Výrobcovia to dodávajú pod niekoľkými názvami: izolácia klientov, izolácia AP, izolácia staníc alebo hostovská sieť, ktorá to implikuje. V OpenWrt je voľba pre jednotlivé rozhranie isolate vnútri bezdrôtovej konfigurácie, ako to opisuje dokumentácia k bezdrôtovým sieťam, a hostovská SSID zvyčajne dostane vlastný most a zónu firewallu. Výsledkom je, že unicastové rámce medzi klientmi sa cez most nepreposielajú, takže ping, spojenie SMB alebo tlačová úloha k susedovi zlyhá, aj keď obe zariadenia ukazujú plný signál.

Protokoly zisťovania trpia prvé a najviditeľnejšie. mDNS pre tlačiarne a mediálne zariadenia ide multicastom na 224.0.0.251, SSDP používa 239.255.255.250, a či tieto rámce prekročia most, závisí od výrobcu a od toho, či je zapnutý prevod multicastu na unicast. Zariadenie chýbajúce v zozname je slabší dôkaz než neúspešné priame spojenie na známu adresu.

Čo VPN mení a čo zmeniť nemôže

Plný tunel preberá predvolenú trasu, takže lokálne podsiete sú dostupné iba vtedy, keď si pre ne klient ponechá konkrétnejšiu trasu. Rozdelené tunely robia opak a miestny prístup zámerne zachovávajú. Žiadne z týchto nastavení nemôže prinútiť izolujúci prístupový bod preposlať rámec medzi dvoma jeho klientmi, preto je povoľovanie miestnej prevádzky vo VPN klientovi nutné, ale nie postačujúce.

Opačný prípad je rovnako častý. Prístupový bod povoľuje prevádzku medzi klientmi, VPN klient vylučuje lokálnu podsieť z tunela a tlačiareň napriek tomu neodpovedá, pretože firewall hostiteľa považuje sieť Wi-Fi za verejnú. Tri vrstvy, tri rôzne predvolené hodnoty a vo väčšine záznamov VPN je viditeľná iba trasa.

Zistite, ktorá brána je zatvorená

Začnite testom, ktorý vyradí VPN z hry: pripojte dve bežné zariadenia k tej istej SSID a skúste sa z jedného dostať na druhé podľa adresy. Ak to zlyhá, prístupový bod izoluje a žiadne nastavenie VPN to nespraví. Ak to uspeje, prejdite na klienta a spustite ip route get 192.168.1.50 na Linuxe alebo Find-NetRoute -RemoteIPAddress 192.168.1.50 na Windows; výstup pomenuje rozhranie, ktoré paket použije.

Keď trasa ukazuje na rozhranie Wi-Fi, paket odchádza nešifrovaný a otázkou sa stáva, či to prístupový bod a firewall hostiteľa dovoľujú. Keď trasa ukazuje na tunel, cieľ sa odosiela na server VPN, čo je pre zariadenie v tej istej lokálnej sieti nesprávne a zvyčajne znamená, že povolený zoznam tunela je príliš široký.

Priame spojenie na port tlačiarne je lepší test než zoznam zisťovania. nc -vz 192.168.1.50 9100 na Linuxe alebo Test-NetConnection 192.168.1.50 -Port 9100 v PowerShelli vám povie, či je adresa vôbec dostupná, skôr než do diskusie vstúpi párovanie na úrovni aplikácie.

Vyberte opravu pre sieť, v ktorej sa nachádzate

V hotelovej alebo hostovskej sieti je izolácia zámerná a nemali by ste sa ju snažiť obísť. Považujte miestne zariadenie za nedostupné, použite VPN na dosiahnutie hostiteľa, ktorý môže tlačiť alebo zdieľať, a prestaňte SSID považovať za lokálnu sieť.

Doma je vypnutie izolácie na hlavnej SSID rozumné, keď sú zariadenia vaše, zatiaľ čo hostovská SSID zostáva izolovaná. Nastavenie žije v bezdrôtovej konfigurácii prístupového bodu a patrí tam, nie do výnimiek firewallu na každom klientovi.

V kancelárii predpokladajte, že prístupový bod, VLAN aj firewall hostiteľa sú zámerné. Eskalujte s výsledkami testov namiesto žiadosti o vypnutie izolácie, pretože sieť, ktorá oddeľuje klientov, zvyčajne niečo chráni.

Overte aplikáciu, nielen ping

Úspešný ping dokazuje cestu, nie službu. Tlačiarne často prijímajú surový 9100 alebo IPP na 631, ale odmietajú zisťovanie, a zdieľanie súborov potrebuje 445 plus funkčný preklad mien. Potvrďte port, ktorý aplikácia používa, a potom skúste skutočnú úlohu na zariadení znova.

Držte obe vrstvy v poznámkach oddelené: čo sieť Wi-Fi dovoľuje a čo VPN smeruje. Nabudúce, keď zariadenie zmizne zo zoznamu, toto rozdelenie vám povie, kam sa pozrieť najskôr.