Wi-Fi i mysafirëve vazhdon të përdorë rrugën kryesore: jepini daljen e vet

Keni krijuar një rrjet mysafirësh, keni shtuar një rrugë për të, dhe mysafirët vazhdojnë të dalin përmes lidhjes tuaj normale të internetit. Tuneli është aktiv, LAN-i kryesor funksionon, dhe pajisjet e mysafirëve raportojnë një adresë brenda intervalit që keni caktuar, kështu që asgjë nuk duket e prishur. Ajo që zakonisht mungon nuk është një rrugë, por një zgjedhës: ruteri vendos për shtegun përpara se të marrë parasysh nëpër cilin ndërfaqe mbërriti paketa, dhe nëse diçka nuk përputhet shprehimisht me trafikun e mysafirëve, ai trafik trashëgon vlerën e parazgjedhur. Zgjidhja është një segment, një rregull politike dhe një rrugë përgjigjeje, në atë rend.

Simptoma: mysafirët vazhdojnë të dalin përmes WAN

Treguesi është adresa e daljes. Një pajisje mysafire që arrin internetin përmes tunelit do të raportojë adresën e ofruesit të tunelit, dhe një që trashëgoi parazgjedhjen do të raportojë lidhjen tuaj normale. Krahasoni krah për krah një pajisje mysafire dhe një pajisje të LAN-it kryesor, sepse rasti interesant është kur ato ndryshojnë nga ajo që konfiguruat dhe përputhen me njëra-tjetrën.

Treguesi i dytë është mungesa e çdo trafiku në ndërfaqen e tunelit ndërsa mysafirët shfletojnë. Nëse numëruesit nuk lëvizin, politika nuk u zbatua kurrë, dhe rregullimi i vetë tunelit nuk mund të ndihmojë.

Hapi 1: një segment i vërtetë, jo vetëm një emër

Një emër SSID nuk krijon izolim. Kontrolloni që rrjeti i mysafirëve përfundon në ndërfaqen, VLAN-in ose urën e vet, dhe që intervali i adresave ndryshon nga LAN-i i besuar. Në shumë pika aksesi për konsumatorë, SSID-ja e mysafirëve uraçohet në të njëjtin segment si gjithçka tjetër, gjë që e bën të pamundur pjesën tjetër të këtij punë, derisa të korrigjohet.

Pastaj konfirmoni intervalin e mysafirëve dhe serverin e tij DHCP, dhe mbani cilësimet e zgjidhësit të lidhura me atë segment dhe jo me të gjithë ruterin. Një nënrrjet mysafirësh që ekziston vetëm si koment në një rregull muri zjarri nuk është segment, dhe ruteri nuk do të ketë asnjë ndërfaqe për t'u përputhur.

Mos i uraçoni mysafirët në LAN-in kryesor për ta bërë VPN-në më të lehtë për t'u konfiguruar. Kjo shkëmben izolimin që dëshironit me një shkurtore rrugëtimi, dhe është arsyeja e zakonshme pse një rrjet mysafirësh përfundon me akses te printeri dhe NAS-i.

Hapi 2: zgjidhni tunelin sipas burimit

Tabelat e rrugëtimit zgjidhen sipas destinacionit, kështu që një rregull që thotë «dërgo 0.0.0.0/0 te tuneli» zbatohet për të gjithë. Rrugëtimi me politikë shton një dimension të dytë: zgjidhni tabelën sipas adresës së burimit. Në një ruter të bazuar në Linux, ky është një rregull shtesë plus një tabelë e dedikuar, dhe rendi ka rëndësi sepse fiton rregulli i parë që përputhet:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Ai komanda e fundit i përgjigjet drejtpërdrejt pyetjes: cilën ndërfaqe do të përdorë ky burim për këtë destinacion. Ekzekutojeni para dhe pas ndryshimit dhe do të dini nëse politika hyri në fuqi pa prekur një shfletues.

Shumica e firmuerëve të ruterave e shprehin të njëjtën gjë si rregull ndërfaqeje ose zgjedhje portë e bazuar në burim. Cilado sintaksë që përdor platforma juaj, parimi është identik: përputhni ndërfaqen hyrëse ose prefiksin e burimit, pastaj anuloni rrugën vetëm për atë përputhje. Një rregull i përputhur sipas destinacionit nuk mund të dallojë një mysafir nga një pajisje shtëpiake.

Hapi 3: rruga e përgjigjes dhe përkthimi

Një paketë që del përmes tunelit duhet të kthehet. Ose partneri i tunelit njeh një rrugë kthimi te prefiksi i mysafirëve, ose ruteri përkthen burimin e mysafirëve në adresën e tunelit. Zgjidhni njërën dhe shkruajeni, sepse mënyrat e dështimit duken ndryshe: një rrugë kthimi që mungon jep një lidhje që vendoset dhe nuk përgjigjet kurrë, ndërsa një përkthim që mungon shpesh nuk prodhon asgjë.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Nëse zgjidhni përkthimin, mbani mend se partneri tani sheh një adresë të vetme për çdo mysafir, kështu që çdo politikë për klient në skajin e largët zhduket. Nëse i ruani adresat, të dy skajet kanë nevojë për prefiksin e mysafirëve në rrugëtimin dhe politikën e tyre, gjë që është më shumë punë dhe më e parashikueshme.

IPv6 ka nevojë për rregullin e vet. Një politikë e shkruar për IPv4 nuk mbulon familjen tjetër, dhe një pajisje mysafire me IPv6 funksionale do ta përdorë me kënaqësi ndërsa shtegu juaj IPv4 i rrugëtuar me kujdes qëndron i papërdorur. Rrugëtoni të dyja familjet ose çaktivizoni IPv6 në segmentin e mysafirëve, por mos supozoni se rregulli i kombinuar që shkruat mbulon atë që pajisja bën në të vërtetë. Testoni me një klient që ka të dyja familjet të aktivizuara, sepse ky është rasti që dizajni duhet të përballojë. Një laptop që preferon IPv6 duket i saktë në një test vetëm me IPv4 dhe rrjedh në atë real.

Testoni izolimin, jo vetëm shfletimin

Shfletimi provon që dalja ndryshoi. Nuk provon që segmenti është i izoluar, dhe izolimi është arsyeja pse ekziston rrjeti i mysafirëve. Nga një pajisje mysafire, provoni të arrini ndërfaqen e administrimit të ruterit, një host të LAN-it të besuar dhe një shërbim që duhet të refuzohet; të treja duhet të dështojnë, dhe dështimi duhet të jetë një vendim politike, jo një afat kohor që askush nuk mund ta shpjegojë.

Pastaj testoni një pajisje të LAN-it kryesor dhe konfirmoni që dalja e saj nuk ndryshoi. Ky është regresi që ky dizajn shkakton më shpesh: një rregull i gjerë i destinuar për mysafirët, i zbatuar në çdo ndërfaqe sepse përputhja u shkrua sipas destinacionit.

Së fundi, vendosni çfarë ndodh kur tuneli është i fikur. Mysafirët ose nuk kanë internet ose kalojnë në një shteg që ju miratoni, dhe lënia e kësaj pa vendim nënkupton një kthim të heshtur te lidhja normale, që është pikërisht rrjedhja që politika e mysafirëve duhej të parandalonte. Receta e rrugëtimit të trafikut të internetit kalon nëpër të njëjtin zgjedhje shtegu për një ruter të bazuar në pfSense.

DNS-i që buron nga ruteri është rasti që i befason njerëzit i fundit. Nëse mysafirët përdorin ruterin si zgjidhësin e tyre, pyetësorët e vetë ruterit ndjekin rrugën e ruterit në vend të rregullit të mysafirëve, kështu që kërkimet mund të dalin përmes lidhjes normale ndërsa trafiku i aplikacionit nuk del. Mbani segmentin, zgjidhësin dhe politikën e dështimit në një shënim të vetëm, dhe personi tjetër do të mund të kontrollojë të treja pa e nxjerrë përsëri dizajnin.