Wi-Fi приступна тачка иза VPN пролаза: задржите једну локалну мрежу

Мостна приступна тачка или други усмерени сегмент? Разлика је у томе коме припадају адресирање, DNS и тунел, и то одлучује где живи политика.

Бежични клијенти могу стајати иза VPN-а, а да приступна тачка не зна ништа о тунелу. Премостите радио на локалну мрежу пролаза, препустите пролазу адресирање и тунел, и сваки уређај на Wi-Fi мрежи наслеђује исту политику. Алтернатива, други усмерени сегмент са сопственим пролазом, јесте другачији дизајн са другачијим начином квара.

Двоје се брка јер обоје ставља кутију између интернета и ваших уређаја. Поређење онога што свако поседује најбржи је начин да одаберете.

Два начина да VPN ставите испред Wi-Fi мреже

У премошћеном распореду приступна тачка преноси оквире између радија и жичаног сегмента и ништа више: једна подмрежа, једно тело за адресе, један усмеравач који спроводи политику. У усмереном распореду друга кутија има сопствене адресе, сопствени DHCP опсег и сопствену подразумевану руту, па саобраћај прелази још једну границу пре него што дође до тунела. Премошћени дизајн чини сваки бежични уређај локалним за пролаз, зато један скуп правила покрива све. Усмерени дизајн даје вам сегмент о коме треба размишљати и друго место на коме политика може поћи по злу.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Одаберите премошћено кад је захтев да бежични уређаји користе исти тунел као жичани. Одаберите усмерено кад желите сегмент који се може изоловати или кад друга кутија већ постоји као усмеравач.

Шта премошћени распоред заправо мења

Премошћивање уклања слој превођења и конкурентни подразумевани пролаз, а додаје проблем управљања. Приступна тачка и даље треба адресу до које можете доћи, што произвођачев ток рада обично решава кроз главну локалну мрежу. Њена DHCP услуга мора бити искључена, иначе ће два тела издавати противречне закупе. Пролаз задржава тунел, поставке разрешивача и одлуку о томе шта се догађа кад тунел падне, па политика живи на тачно једном месту.

Радио ништа од тога не наслеђује аутоматски од тунела. Само престаје да додаје слојеве који би га прикрили.

Где се уклапа други усмерени сегмент

Усмерени сегмент заслужује своју сложеност кад уређаји иза њега требају другачији третман од остатка локалне мреже. Гостинска мрежа, лабораторија или група клијената који увек морају изаћи кроз одређену земљу сви су разлози да се усмеравач стави на пут. Цена је друго тело за адресе, други заштитни зид који треба одржавати усклађеним и повратна рута из главне локалне мреже ако некоме тамо треба приступ сегменту. То су обавезе, а не појединости конфигурације.

Уобичајена грешка је случајно изградити усмерену верзију, поново употребивши усмеравач који још увек врти сопствени DHCP и превођење. То даје двоструко превођење и политику коју нико не може пратити.

Тестирајте са Wi-Fi клијента, не са пролаза

Успешан захтев на пролазу доказује да тунел ради за пролаз. Право је питање користи ли га прослеђени саобраћај бежичног клијента, а то се мора посматрати са клијента. Наредбе у наставку проверавају адресу клијента, његову руту и адресу коју види удаљена услуга.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Адреса унутар локалне мреже пролаза потврђује да мост пропушта оквире уместо да их преводи. Рута чији је први скок пролаз потврђује да клијент није добио другу подразумевану руту однекуд другде. Провера излазне адресе одговара на стварно питање, а кратки траг показује јесу ли први скокови очекивани. Ако адреса клијента долази из другог опсега, први је осумњичени залутали DHCP сервер.

Запишите улогу сваке кутије, њену адресу и тело за DHCP. Шема са три линије је довољна и решава већину расправа о томе где правило припада.

Повезани чланци