Segment shtëpiak vetëm VPN: fike rrugën rezervë, jo vetëm SSID-në

Ju e vendosni SSID-në e mysafirëve në VPN dhe e quani segmentin vetëm VPN. Pastaj tuneli bie për dy minuta dhe pajisjet kthehen në heshtje në WAN-in e zakonshëm. Asgjë në emrin e SSID-së nuk e pengoi këtë. Një segment vetëm VPN përcaktohet nga ajo që ndodh kur tuneli nuk është i disponueshëm, jo nga etiketa e rrjetit.

Etiketa është një premtim; politika e rezervës është zbatimi.

Mit: SSID është kufiri

Një SSID pa politikën e vet të përcjelljes është vetëm një emër. Kufiri është një ndërfaqe, VLAN ose nënrrjet i veçantë, me shtrirjen e vet DHCP dhe rregullat e veta. Një VLAN të jep një kufi përcjelljeje që një emër Wi-Fi nuk mund ta japë.

Izolimi i klientëve është gjithashtu pjesë e projektimit. Dy pajisje në segment mund të kenë nevojë të flasin me njëra-tjetrën, ose jo, dhe kjo zgjedhje duhet të jetë e qartë në vend që të trashëgohet nga një profil mysafiri.

Shkruaj ndërfaqen dhe intervalin e adresave të segmentit përpara se të shkruash një rregull të vetëm. Ai rresht parandalon pjesën më të madhe të konfuzionit të mëvonshëm.

Mit: rruga e tunelit mbulon çdo protokoll

Zbato politikën e firmware-it në atë segment që trafiku i tij drejt internetit të përdorë tunelin. Konfiguro përcjelljen dhe përkthimin në distancë që kërkon tuneli. Mbaj vetëm aksesin ndaj burimeve lokale që segmenti ka vërtet nevojë.

Kontrollo të dyja familjet e adresave. Nëse IPv6 nuk transportohet përmes tunelit, politika duhet ta trajtojë atë, përndryshe një pajisje me mbështetje IPv6 do të gjejë një rrugë të drejtpërdrejtë që nuk e kishe synuar.

Një çelës ndalimi vetëm për IPv4 me IPv6 të aktivizuar është një mënyrë e zakonshme rrjedhjeje. Testo me një klient me mbështetje IPv6, jo vetëm me laptopin që ke pranë.

Mit: DNS dhe pika fundore e tunelit ndjekin tunelin

DNS-i i ruterit mund të gjenerohet lokalisht dhe të ndjekë tabelën e vet të rrugëtimit të ruterit, jo politikën e segmentit. Vendos cilën rrugë duhet të përdorë ai zgjidhës dhe çfarë bën kur tuneli dështon. Lidhja e vetë pikës fundore të VPN është një tjetër përjashtim: i duhet rruga e jashtme e dokumentuar drejt partnerit. Drejtoje atë lidhje në tunel dhe nuk do të mund të ngrihet.

Mbaj administratën e rikuperimit të ndarë nga aksesi në internet i segmentit. Nëse një partner i dështuar të bllokon edhe jashtë ruterit, e ke kthyer një ndërprerje tuneli në një vizitë në vend. Mbaje atë akses në një rrjet menaxhimi, jo në segmentin vetëm VPN.

Çfarë e bën vërtet vetëm VPN

Blloko përcjelljen normale drejt WAN për segmentin sa herë që tuneli është poshtë. Ai rregull, jo SSID-ja, e bën etiketën të vërtetë. Testoje me trafik të padëmshëm nga një pajisje në segment.

Bëj tre kontrolle: funksionim normal përmes tunelit, testin e lejuar të dështimit me tunelin poshtë dhe rikuperimin kur ai kthehet. Konfirmo që një segment tjetër shtëpie e mban rrugën e tij të synuar gjatë gjithë kohës. Dokumento çdo përjashtim të drejtpërdrejtë, përndryshe etiketa fsheh rrugë që nuk i mban më mend.

Një regjistrim i shkurtër i segmentit, tunelit të zgjedhur dhe përjashtimeve të jep kontrolle specifike pasi një përditësim firmware ndryshon rendin e rregullave ose sjelljen e zgjidhësit. Receta e klientit WireGuard për pfSense është një referencë e dobishme për anën e tunelit, jo një zëvendësim për politikën e segmentit.