Pikë aksesi Wi-Fi pas një portali VPN: mbaj një LAN të vetme

Pikë aksesi e urëzuar apo segment i dytë i rrugëzuar? Dallimi është kush zotëron adresimin, DNS-në dhe tunelin, dhe kjo vendos ku jeton politika.

Klientët me valë mund të qëndrojnë pas një VPN pa e ditur pika e aksesit asgjë për tunelin. Uro radion në LAN-in e portalit, lëre portalin të zotërojë adresimin dhe tunelin, dhe çdo pajisje në Wi-Fi trashëgon të njëjtën politikë. Alternativa, një segment i dytë i rrugëzuar me portalin e vet, është një projekt tjetër me një mënyrë tjetër dështimi.

Të dy ngatërrohen sepse që të dy vendosin një kuti mes internetit dhe pajisjeve të tua. Krahasimi i asaj që zotëron secili është mënyra më e shpejtë për të zgjedhur.

Dy mënyra për ta vendosur VPN-në përpara Wi-Fi-t

Në një skemë të urëzuar pika e aksesit transporton korniza mes radios dhe segmentit me kabllo dhe asgjë tjetër: një nënrrjet, një autoritet adresash, një ruter që zbaton politikën. Në një skemë të rrugëzuar kutia e dytë ka adresat e veta, gamën e vet DHCP dhe rrugën e vet të paracaktuar, kështu që trafiku kalon një kufi tjetër përpara se të arrijë tunelin. Skema e urëzuar e bën çdo pajisje me valë të duket lokale për portalin, prandaj një grup rregullash i mbulon të gjitha. Skema e rrugëzuar të jep një segment për të menduar dhe një vend të dytë ku politika mund të shkojë keq.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Zgjidh të urëzuarën kur kërkesa është që pajisjet me valë të përdorin të njëjtin tunel si ato me kabllo. Zgjidh të rrugëzuarën kur dëshiron një segment që mund të izolohet, ose kur kutia e dytë ekziston tashmë si ruter.

Çfarë ndryshon vërtet skema e urëzuar

Urimi heq një shtresë përkthimi dhe një portë të paracaktuar konkurruese, dhe shton një problem menaxhimi. Pika e aksesit ka ende nevojë për një adresë që mund ta arrish, të cilën rrjedha e punës e furnizuesit zakonisht e rregullon përmes LAN-it kryesor. Shërbimi i saj DHCP duhet të jetë i fikur, përndryshe dy autoritete do të japin qira kontradiktore. Portali mban tunelin, cilësimet e zgjidhësit dhe vendimin se çfarë ndodh kur tuneli bie, prandaj politika jeton saktësisht në një vend.

Radioja nuk trashëgon asgjë nga kjo automatikisht nga tuneli. Ajo thjesht ndalon shtimin e shtresave që do ta fshihnin.

Ku përshtatet një segment i dytë i rrugëzuar

Një segment i rrugëzuar e meriton kompleksitetin e vet kur pajisjet pas tij kanë nevojë për trajtim të ndryshëm nga pjesa tjetër e LAN-it. Një rrjet mysafirësh, një laborator ose një grup klientësh që duhet të dalin gjithmonë përmes një vendi të caktuar janë të gjitha arsye për të vendosur një ruter në rrugë. Kostoja është një autoritet i dytë adresash, një mur i dytë zjarri që duhet mbajtur konsistent dhe një rrugë kthimi nga LAN-i kryesor nëse dikush atje duhet të arrijë segmentin. Këto janë detyrime, jo hollësi konfigurimi.

Gabimi i zakonshëm është ndërtimi i versionit të rrugëzuar aksidentalisht, duke ripërdorur një ruter që ende drejton DHCP-në dhe përkthimin e vet. Kjo prodhon përkthim të dyfishtë dhe një politikë që askush nuk mund ta gjurmojë.

Testo nga një klient Wi-Fi, jo nga portali

Një kërkesë e suksesshme në portal provon se tuneli funksionon për portalin. Pyetja e vërtetë është nëse trafiku i përcjellë i një klienti me valë e përdor atë, dhe kjo duhet vëzhguar nga klienti. Komandat më poshtë kontrollojnë adresën e klientit, rrugën e tij dhe adresën që sheh një shërbim i largët.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Një adresë brenda LAN-it të portalit konfirmon se ura i kalon kornizat në vend që t'i përkthejë. Një rrugë hapi i parë i së cilës është portali konfirmon se klienti nuk ka marrë një rrugë të dytë të paracaktuar nga diku tjetër. Kontrolli i adresës së daljes i përgjigjet pyetjes së vërtetë, dhe gjurma e shkurtër tregon nëse hapat e parë janë ata të pritur. Nëse adresa e klientit vjen nga një gamë tjetër, i dyshuari i parë është një server DHCP i humbur.

Shkruaj rolin e secilës kuti, adresën e saj dhe autoritetin DHCP. Një diagram me tri rreshta mjafton, dhe zgjidh shumicën e debateve se ku përket një rregull.

Artikuj të ngjashëm