Domači segment samo prek VPN: izklopite rezervno pot, ne le SSID

Gostujoči SSID postavite na VPN in segment poimenujete samo VPN. Nato tunel za dve minuti pade in naprave se tiho vrnejo na običajni WAN. Nič v imenu SSID tega ni preprečilo. Segment samo VPN je opredeljen s tem, kaj se zgodi, ko tunel ni na voljo, ne z oznako omrežja.

Oznaka je obljuba; politika rezervne poti je izvajanje.

Mit: SSID je meja

SSID brez lastne politike posredovanja je samo ime. Meja je ločen vmesnik, VLAN ali podomrežje z lastnim obsegom DHCP in lastnimi pravili. VLAN vam da mejo posredovanja, ki je ime Wi-Fi ne more dati.

Izolacija odjemalcev je prav tako del zasnove. Dve napravi v segmentu morda morata komunicirati med seboj ali pa tudi ne, in ta izbira bi morala biti izrecna, ne pa podedovana iz gostujočega profila.

Zapišite vmesnik in obseg naslovov segmenta, preden napišete eno samo pravilo. Ta vrstica prepreči večino poznejše zmede.

Mit: pot tunela pokriva vsak protokol

Uporabite politiko strojne programske opreme za ta segment, da njegov promet v internet uporablja tunel. Nastavite oddaljeno posredovanje in prevajanje, ki ju tunel zahteva. Obdržite le dostop do lokalnih virov, ki jih segment resnično potrebuje.

Preverite obe družini naslovov. Če se IPv6 ne prenaša skozi tunel, se mora politika z njim ukvarjati, sicer bo naprava s podporo IPv6 našla neposredno pot, ki je niste nameravali.

Stikalo za izklop samo za IPv4 z omogočenim IPv6 je pogost način uhajanja. Preizkusite s odjemalcem s podporo IPv6, ne le s prenosnikom, ki ga imate pri roki.

Mit: DNS in končna točka tunela sledita tunelu

Usmerjevalnikov DNS se lahko ustvari lokalno in sledi lastni usmerjevalni tabeli usmerjevalnika, ne politiki segmenta. Odločite, katero pot naj uporablja ta razreševalnik in kaj naredi, ko tunel odpove. Lastna povezava VPN s končno točko je še ena izjema: potrebuje dokumentirano zunanjo pot do partnerja. Usmerite to povezavo v tunel in ne bo se mogla dvigniti.

Upravljanje obnovitve imejte ločeno od internetnega dostopa segmenta. Če vas neuspeli partner zaklene tudi iz usmerjevalnika, ste izpad tunela spremenili v obisk na kraju samem. Ta dostop imejte v upravljalnem omrežju, ne v segmentu samo VPN.

Kaj ga resnično naredi samo VPN

Blokirajte običajno posredovanje v WAN za segment vsakič, ko je tunel spodaj. Prav to pravilo, ne SSID, naredi oznako resnično. Preizkusite ga z neškodljivim prometom z naprave v segmentu.

Izvedite tri preverjanja: običajno delovanje skozi tunel, dovoljeni test okvare s spodaj tunelom in obnovitev, ko se vrne. Potrdite, da drug domači segment ves čas ohranja svojo predvideno pot. Dokumentirajte vse neposredne izjeme, sicer oznaka skrije poti, ki se jih ne spomnite več.

Kratek zapis o segmentu, izbranem tunelu in izjemah vam da konkretna preverjanja po tem, ko posodobitev strojne programske opreme spremeni vrstni red pravil ali vedenje razreševalnika. Recept odjemalca WireGuard za pfSense je koristen vir za stran tunela, ne nadomestilo za politiko segmenta.