Gostujoči Wi-Fi še vedno uporablja glavno pot: dajte mu svoj lastni izhod

Ustvarili ste gostujoče omrežje, dodali pot zanj, in gostje še vedno odhajajo skozi vaš običajni internetni priključek. Tunel je aktiven, glavni LAN deluje, gostujoče naprave pa poročajo naslov v obsegu, ki ste ga dodelili, zato nič ne izgleda pokvarjeno. Ponavadi manjka ne pot, ampak izbirnik: usmerjevalnik se odloči o poti, preden upošteva, skozi kateri vmesnik je prišel paket, in če se nič izrecno ne ujema z gostujočim prometom, ta promet podeduje privzeto vrednost. Rešitev je segment, pravilo politike in povratna pot, v tem vrstnem redu.

Simptom: gostje še vedno odhajajo skozi WAN

Namig je izhodni naslov. Gostujoča naprava, ki doseže internet skozi tunel, bo poročala naslov ponudnika tunela, tista, ki je podedovala privzeto vrednost, pa bo poročala vaš običajni priključek. Primerjajte drug ob drugem gostujočo napravo in napravo glavnega LAN-a, ker je zanimiv primer, ko se razlikujeta od tega, kar ste nastavili, in se ujemata med seboj.

Drugi namig je odsotnost kakršnega koli prometa na vmesniku tunela, medtem ko gostje brskajo. Če se števci ne premikajo, politika ni bila nikoli uporabljena, in prilagajanje samega tunela ne more pomagati.

Korak 1: pravi segment, ne samo ime

Ime SSID ne ustvari izolacije. Preverite, da se gostujoče omrežje konča na svojem vmesniku, VLAN-u ali mostu, in da se obseg naslovov razlikuje od zaupanja vrednega LAN-a. Na mnogih potrošniških dostopovnih točkah je gostujoči SSID premosten v isti segment kot vse drugo, kar onemogoči preostanek tega dela, dokler tega ne popravite.

Nato potrdite gostujoči obseg in njegov strežnik DHCP, nastavitve razreševalnika pa ohranite povezane s tem segmentom in ne s celotnim usmerjevalnikom. Gostujoče podomrežje, ki obstaja samo kot komentar v pravilu požarnega zidu, ni segment, in usmerjevalnik ne bo imel vmesnika za ujemanje.

Gostov ne mostite v glavni LAN, da bi olajšali konfiguracijo VPN-a. To zamenja izolacijo, ki ste jo želeli, za bližnjico pri usmerjanju, in to je običajen razlog, da gostujoče omrežje na koncu dobi dostop do tiskalnika in NAS.

Korak 2: izberite tunel glede na vir

Usmerjevalne tabele se izberejo glede na cilj, zato pravilo «pošlji 0.0.0.0/0 v tunel» velja za vse. Usmerjanje po politiki doda drugo dimenzijo: izberite tabelo glede na izvorni naslov. Na usmerjevalniku, ki temelji na Linuxu, je to dodatno pravilo in namenska tabela, vrstni red pa je pomemben, ker zmaga prvo ujemajoče pravilo:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Zadnji ukaz neposredno odgovori na vprašanje: kateri vmesnik bo ta vir uporabil za ta cilj. Zaženite ga pred spremembo in po njej, in vedeli boste, ali je politika začela veljati, ne da bi se dotaknili brskalnika.

Večina strojne programske opreme usmerjevalnikov izraža isto kot pravilo vmesnika ali izbiro prehoda na podlagi vira. Ne glede na sintakso, ki jo uporablja vaša platforma, je načelo enako: ujemite vhodni vmesnik ali predpono vira, nato prepišite pot samo za to ujemanje. Pravilo, ujemajoče se po cilju, ne more razlikovati gosta od gospodinjske naprave.

Korak 3: povratna pot in prevajanje

Paket, ki odide skozi tunel, se mora vrniti. Ali partner tunela pozna pot nazaj do gostujoče predpone, ali usmerjevalnik prevede gostujoči vir v naslov tunela. Izberite eno in si jo zapišite, ker načini odpovedi izgledajo različno: manjkajoča povratna pot da povezavo, ki se vzpostavi in nikoli ne odgovori, medtem ko manjkajoče prevajanje pogosto ne ustvari ničesar.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Če izberete prevajanje, ne pozabite, da partner zdaj vidi en naslov za vsakega gosta, zato vsaka politika na odjemalca na oddaljenem koncu izgine. Če namesto tega ohranite naslove, oba konca potrebujeta gostujočo predpono v svojem usmerjanju in politiki, kar je več dela in bolj predvidljivo.

IPv6 potrebuje svoje pravilo. Politika, napisana za IPv4, ne pokriva druge družine, in gostujoča naprava z delujočim IPv6 ga bo z veseljem uporabila, medtem ko vaša skrbno usmerjena pot IPv4 stoji neuporabljena. Usmerite obe družini ali onemogočite IPv6 v gostujočem segmentu, vendar ne predpostavljajte, da napisano kombinirano pravilo pokriva to, kar naprava v resnici počne. Testirajte s odjemalcem, ki ima omogočeni obe družini, ker je to primer, ki ga mora zasnova prestati. Prenosnik, ki daje prednost IPv6, je videti pravilen v testu samo z IPv4 in v resničnem pušča.

Testirajte izolacijo, ne le brskanja

Brskanje dokazuje, da se je izhod spremenil. Ne dokazuje, da je segment izoliran, in izolacija je razlog, da gostujoče omrežje obstaja. Z gostujoče naprave poskusite doseči skrbniški vmesnik usmerjevalnika, gostitelja v zaupanja vrednem LAN-u in storitev, ki bi morala biti zavrnjena; vsi trije bi morali spodleteti, in neuspeh bi moral biti odločitev politike, ne časovna omejitev, ki je nihče ne more pojasniti.

Nato preizkusite napravo glavnega LAN-a in potrdite, da se njen izhod ni spremenil. To je regresija, ki jo ta zasnova povzroča najpogosteje: široko pravilo, namenjeno gostom, uporabljeno za vsak vmesnik, ker je bilo ujemanje napisano po cilju.

Na koncu odločite, kaj se zgodi, ko je tunel izklopljen. Gostje bodisi nimajo interneta bodisi preidejo na pot, ki jo odobrite, in če to pustite neodločeno, pomeni tiho vrnitev na običajni priključek, kar je natanko to puščanje, ki naj bi ga gostujoča politika preprečila. Recept za usmerjanje internetnega prometa gre skozi isto izbiro poti za usmerjevalnik, ki temelji na pfSense.

DNS, ki izvira iz usmerjevalnika, je primer, ki ljudi preseneti nazadnje. Če gostje uporabljajo usmerjevalnik kot svoj razreševalnik, lastne poizvedbe usmerjevalnika sledijo poti usmerjevalnika namesto gostujočemu pravilu, zato lahko iskanja odidejo skozi običajni priključek, medtem ko promet aplikacije ne. Imejte segment, razreševalnik in politiko odpovedi v eni opombi, in naslednja oseba bo lahko preverila vse tri, ne da bi znova izpeljala zasnovo.