Домаћи сегмент само преко VPN-а: искључите резервну путању, не само SSID

Стављате гостујући SSID на VPN и сегмент називате само-VPN. Затим тунел падне на два минута и уређаји се тихо враћају на обичан WAN. Ништа у имену SSID-а то није спречило. Сегмент само-VPN дефинише се оним што се дешава када тунел није доступан, а не ознаком мреже.

Ознака је обећање; политика резервне путање је спровођење.

Мит: SSID је граница

SSID без сопствене политике прослеђивања је само име. Граница је одвојен интерфејс, VLAN или подмрежа са сопственим DHCP опсегом и сопственим правилима. VLAN вам даје границу прослеђивања коју име Wi-Fi не може да да.

Изолација клијената је такође део пројекта. Два уређаја у сегменту можда треба да разговарају један с другим, или не, и тај избор треба да буде експлицитан, а не наслеђен из гостујућег профила.

Запишите интерфејс и опсег адреса сегмента пре него што напишете и једно правило. Та једна линија спречава већину касније забуне.

Мит: путања тунела покрива сваки протокол

Примените политику фирмвера на тај сегмент тако да његов саобраћај ка интернету користи тунел. Подесите даљинско прослеђивање и превођење које тунел захтева. Задржите само приступ локалним ресурсима који сегменту заиста требају.

Проверите обе фамилије адреса. Ако се IPv6 не преноси кроз тунел, политика мора да се носи с тим, иначе ће уређај са подршком за IPv6 наћи директну путању коју нисте намеравали.

Прекидач за заштиту само за IPv4 са укљученим IPv6 је чест начин цурења. Тестирајте са клијентом који подржава IPv6, не само са преносним рачунаром који вам је при руци.

Мит: DNS и крајња тачка тунела следе тунел

DNS рутера може да се генерише локално и да следи сопствену табелу рутирања рутера, а не политику сегмента. Одлучите којим путем тај резолвер треба да иде и шта ради када тунел закаже. Сопствена веза VPN-а ка крајњој тачки је још један изузетак: потребна јој је документована спољна путања до партнера. Усмерите ту везу у тунел и она не може да се подигне.

Држите администрацију опоравка одвојено од интернет приступа сегмента. Ако вас неуспели партнер такође закључа из рутера, претворили сте испад тунела у посету локацији. Држите тај приступ на управљачкој мрежи, а не на сегменту само-VPN.

Шта га заиста чини само-VPN

Блокирајте обично прослеђивање на WAN за сегмент кад год је тунел доле. То правило, а не SSID, чини ознаку истинитом. Тестирајте га безопасним саобраћајем са уређаја у сегменту.

Обавите три провере: нормалан рад кроз тунел, дозвољени тест квара са тунелом доле и опоравак када се врати. Потврдите да други кућни сегмент све време задржава своју предвиђену путању. Документујте све директне изузетке, иначе ознака крије путање којих се више не сећате.

Кратак запис о сегменту, изабраном тунелу и изузецима даје вам конкретне провере након што ажурирање фирмвера промени редослед правила или понашање резолвера. Рецепт за клијент WireGuard на pfSense-у је корисна референца за страну тунела, а не замена за политику сегмента.