Wi-Fi dostopna točka za prehodom VPN: ohranite eno lokalno omrežje

Brezžični odjemalci lahko sedijo za VPN, ne da bi dostopna točka vedela karkoli o tunelu. Premostite radio v lokalno omrežje prehoda, pustite prehodu naslavljanje in tunel, in vsaka naprava v Wi-Fi podeduje isto politiko. Druga možnost, drugi usmerjeni segment z lastnim prehodom, je drugačna zasnova z drugačnim načinom odpovedi.

Oba se zamenjujeta, ker oba postavita škatlo med internet in vaše naprave. Primerjava, kaj ima vsak, je najhitrejši način za izbiro.

Dva načina, kako VPN postaviti pred Wi-Fi

V premostitveni postavitvi dostopna točka prenaša okvire med radiom in žičnim segmentom in nič drugega: eno podomrežje, en organ za naslove, en usmerjevalnik, ki izvaja politiko. V usmerjeni postavitvi ima druga škatla svoje naslove, svoje območje DHCP in svojo privzeto pot, zato promet prečka še eno mejo, preden doseže tunel. Premostitvena zasnova naredi vsako brezžično napravo lokalno za prehod, zato jih pokriva en nabor pravil. Usmerjena zasnova vam da segment za razmišljanje in drugo mesto, kjer lahko politika zgreši.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Izberite premostitev, ko je zahteva, da brezžične naprave uporabljajo isti tunel kot žične. Izberite usmerjanje, ko želite segment, ki ga je mogoče izolirati, ali ko druga škatla že obstaja kot usmerjevalnik.

Kaj premostitvena postavitev zares spremeni

Premostitev odstrani plast prevajanja in konkurenčni privzeti prehod, doda pa problem upravljanja. Dostopna točka še vedno potrebuje naslov, do katerega lahko pridete, kar delovni tok ponudnika običajno uredi prek glavnega lokalnega omrežja. Njena storitev DHCP mora biti izklopljena, sicer bosta dva organa izdajala nasprotujoče si najeme. Prehod ohrani tunel, nastavitve razreševalnika in odločitev o tem, kaj se zgodi, ko tunel pade, zato politika živi točno na enem mestu.

Radio ne podeduje ničesar od tega samodejno od tunela. Samo preneha dodajati plasti, ki bi ga zakrile.

Kam sodi drugi usmerjeni segment

Usmerjeni segment si zasluži svojo zapletenost, ko naprave za njim potrebujejo drugačno obravnavo kot preostanek lokalnega omrežja. Gostujoče omrežje, laboratorij ali nabor odjemalcev, ki morajo vedno izstopiti skozi določeno državo, so vsi razlogi za usmerjevalnik na poti. Cena je drug organ za naslove, drug požarni zid, ki ga je treba vzdrževati usklajenega, in povratna pot iz glavnega lokalnega omrežja, če mora kdo tam doseči segment. To so obveznosti, ne podrobnosti konfiguracije.

Pogosta napaka je, da usmerjeno različico zgradimo po nesreči, z ponovno uporabo usmerjevalnika, ki še vedno izvaja lasten DHCP in prevajanje. To ustvari dvojno prevajanje in politiko, ki je nihče ne more izslediti.

Preizkusite z odjemalca Wi-Fi, ne s prehoda

Uspešna zahteva na prehodu dokazuje, da tunel deluje za prehod. Pravo vprašanje je, ali ga uporablja posredovani promet brezžičnega odjemalca, in to je treba opazovati z odjemalca. Spodnji ukazi preverijo naslov odjemalca, njegovo pot in naslov, ki ga vidi oddaljena storitev.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Naslov znotraj lokalnega omrežja prehoda potrjuje, da most prepušča okvire, namesto da bi jih prevajal. Pot, katere prvi skok je prehod, potrjuje, da odjemalec ni pridobil druge privzete poti od drugod. Preverjanje izhodnega naslova odgovori na pravo vprašanje, kratka sled pa pokaže, ali so prvi skoki pričakovani. Če naslov odjemalca prihaja iz drugega obsega, je prvi osumljenec zablodeli strežnik DHCP.

Zapišite vlogo vsake škatle, njen naslov in organ DHCP. Diagram s tremi črtami zadostuje in razreši večino razprav o tem, kam sodi pravilo.