Izolacija odjemalcev Wi-Fi proti lokalnemu dostopu prek VPN: kaj vas blokira

Postavite dva telefona v isti gostujoči SSID in nobeden ne vidi drugega, a oba dosežeta internet. Dodajte odjemalca VPN na enega od njiju in tiskalnik tri metre stran ostane neviden, medtem ko strežnik na drugi celini odgovarja na ping. V tunelu ni nič pokvarjeno; vpleteni sta dve ločeni odločitvi o dostopu in samo ena od njiju je o usmerjanju. Dostopna točka odloča, ali se lahko brezžični odjemalci pogovarjajo med seboj, odjemalec VPN pa odloča, katere destinacije zapustijo tunel. Zamenjava teh dveh prinese ure nesmiselnih sprememb konfiguracije.

Obe vrati sta neodvisni

Izolacija odjemalcev je odločitev preklapljanja. Dostopna točka sprejme okvir od ene povezane postaje, pogleda cilj, opazi, da je cilj druga postaja na istem mostu, in ga zavrže. Naslov IP postaje za to odločitev ni pomemben, tudi VPN ne.

Usmerjanje je druga odločitev, sprejeta na odjemalcu. Usmerjevalna tabela VPN odloči, ali paket za 192.168.1.50 vstopi v tunel ali odide skozi vmesnik Wi-Fi. Če paket odide skozi Wi-Fi in dostopna točka izolira odjemalce, umre na dostopni točki. Če paket vstopi v tunel, dostopna točka nikoli ne vidi izvirnega cilja in ne more ničesar izolirati.

Kaj izolacija blokira na tipični dostopni točki

Proizvajalci to dobavljajo pod več imeni: izolacija odjemalcev, izolacija AP, izolacija postaj ali gostujoče omrežje, ki to implicira. V OpenWrt je možnost za posamezni vmesnik isolate znotraj brezžične konfiguracije, kot je opisano v dokumentaciji za brezžična omrežja, gostujoči SSID pa običajno dobi svoj most in območje požarnega zidu. Učinek je, da se unicast okviri med odjemalci ne premostijo, zato ping, povezava SMB ali tiskalno opravilo do soseda spodleti, čeprav obe napravi kažeta poln signal.

Protokoli za odkrivanje trpijo prvi in najbolj vidno. mDNS za tiskalnike in medijske naprave gre z multicast na 224.0.0.251, SSDP uporablja 239.255.255.250, in ali ti okviri prečkajo most, je odvisno od proizvajalca in od tega, ali je pretvorba multicasta v unicast vklopljena. Naprava, ki manjka na seznamu, je šibkejši dokaz kot neuspešna neposredna povezava na znan naslov.

Kaj VPN spremeni in česa ne more spremeniti

Polni tunel prevzame privzeto pot, zato so lokalna podomrežja dosegljiva le, če odjemalec zanje obdrži natančnejšo pot. Razdeljeni tuneli naredijo nasprotno in lokalni dostop po zasnovi ohranijo. Nobena od nastavitev ne more prisiliti izolirajoče dostopne točke, da prenese okvir med dvema svojima odjemalcema, zato je dovoljevanje lokalnega prometa v odjemalcu VPN nujno, a ne zadostno.

Nasprotni primer je prav tako pogost. Dostopna točka dovoli promet med odjemalci, odjemalec VPN izloči lokalno podomrežje iz tunela, tiskalnik pa vseeno ne odgovori, ker požarni zid gostitelja obravnava omrežje Wi-Fi kot javno. Tri plasti, tri različne privzete vrednosti, in samo pot je vidna v večini dnevnikov VPN.

Ugotovite, katera vrata so zaprta

Začnite s preskusom, ki VPN umakne s slike: povežite dve običajni napravi v isti SSID in poskusite z ene doseči drugo po naslovu. Če to spodleti, dostopna točka izolira in nobena nastavitev VPN tega ne bo popravila. Če uspe, pojdite na odjemalca in zaženite ip route get 192.168.1.50 v Linuxu ali Find-NetRoute -RemoteIPAddress 192.168.1.50 v Windows; izpis navede vmesnik, ki ga bo paket uporabil.

Ko pot kaže na vmesnik Wi-Fi, paket odide nešifriran in vprašanje postane, ali to dostopna točka in požarni zid gostitelja dovolita. Ko pot kaže na tunel, se cilj pošlje strežniku VPN, kar je za napravo v istem lokalnem omrežju napačno in običajno pomeni, da je dovoljeni seznam tunela preširok.

Neposredna povezava na vrata tiskalnika je boljši preskus kot seznam odkrivanja. nc -vz 192.168.1.50 9100 v Linuxu ali Test-NetConnection 192.168.1.50 -Port 9100 v PowerShellu pove, ali je naslov sploh dosegljiv, preden v razpravo vstopi kakršno koli seznanjanje na ravni aplikacije.

Izberite popravek za omrežje, v katerem ste

V hotelskem ali gostujočem omrežju je izolacija namerna in je ne bi smeli poskušati premagati. Obravnavajte lokalno napravo kot nedosegljivo, uporabite VPN za dosego gostitelja, ki lahko tiska ali deli, in prenehajte SSID obravnavati kot lokalno omrežje.

Doma je izklop izolacije v glavnem SSID smiseln, ko so naprave vaše, medtem ko gostujoči SSID ostane izoliran. Nastavitev živi v brezžični konfiguraciji dostopne točke in tam ji je mesto, ne v izjemah požarnega zidu na vsakem odjemalcu.

V pisarni predpostavite, da so dostopna točka, VLAN in požarni zid gostitelja vsi namerni. Eskalirajte z rezultati preskusov, namesto da bi prosili za izklop izolacije, ker omrežje, ki ločuje odjemalce, običajno nekaj ščiti.

Preverite aplikacijo, ne le ping

Uspešen ping dokaže pot, ne storitve. Tiskalniki pogosto sprejmejo surov 9100 ali IPP na 631, a zavrnejo odkrivanje, deljenje datotek pa potrebuje 445 in delujoče razreševanje imen. Potrdite vrata, ki jih uporablja aplikacija, nato poskusite dejansko opravilo na napravi znova.

Obe plasti imejte v zapiskih ločeni: kaj omrežje Wi-Fi dovoli in kaj VPN usmerja. Ko bo naslednjič naprava izginila s seznama, vam bo ta ločitev povedala, kam pogledati najprej.