Изолација Wi-Fi клијената наспрам локалног приступа преко VPN-а: шта вас блокира

Ставите два телефона на исти гостињски SSID и ниједан не види други, али обоје стижу до интернета. Додајте VPN клијент на један од њих и штампач три метра даље остаје невидљив, док сервер на другом континенту одговара на ping. Ништа у тунелу није покварено; у игри су две одвојене одлуке о приступу и само се једна од њих тиче усмеравања. Приступна тачка одлучује смеју ли бежични клијенти да разговарају међусобно, а VPN клијент одлучује која одредишта излазе кроз тунел. Мешање тих двеју доноси сате бесмислених промена конфигурације.

Два пролаза су независна

Изолација клијената је одлука пребацивања. Приступна тачка прихвата оквир од једне придружене станице, гледа одредиште, примећује да је одредиште друга станица на истом мосту и одбацује га. IP адреса станице није релевантна за ту одлуку, а ни VPN.

Усмеравање је друга одлука која се доноси на клијенту. VPN табела рутирања одлучује улази ли пакет за 192.168.1.50 у тунел или излази кроз Wi-Fi интерфејс. Ако пакет изађе кроз Wi-Fi, а приступна тачка изолује клијенте, умире на приступној тачки. Ако пакет уђе у тунел, приступна тачка никада не види изворно одредиште и не може ништа да изолује.

Шта изолација блокира на типичној приступној тачки

Произвођачи то испоручују под неколико назива: изолација клијената, изолација AP-а, изолација станица или гостујућа мрежа која је подразумева. У OpenWrt-у опција за поједини интерфејс је isolate унутар бежичне конфигурације, како је описано у документацији за бежичне мреже, а гостујући SSID обично добија сопствени мост и зону заштитног зида. Учинак је да се unicast оквири између клијената не преносе преко моста, па ping, SMB веза или посао штампе према суседу пропада иако оба уређаја показују пун сигнал.

Протоколи за откривање трпе први и највидљивије. mDNS за штампаче и медијске уређаје иде multicast-ом на 224.0.0.251, SSDP користи 239.255.255.250, а то да ли ти оквири прелазе мост зависи од произвођача и од тога да ли је укључено претварање multicast-а у unicast. Уређај који недостаје на листи слабији је доказ од неуспеле директне везе на познату адресу.

Шта VPN мења, а шта не може да промени

Пун тунел преузима подразумевану руту, па се локалне подмреже достижу само ако клијент за њих задржи конкретнију руту. Раздвојени тунели раде супротно и по дизајну чувају локални приступ. Ниједна од тих поставки не може да натера изолујућу приступну тачку да пренесе оквир између два своја клијента, зато је дозвољавање локалног саобраћаја у VPN клијенту нужно, али не и довољно.

Обрнут случај је једнако чест. Приступна тачка дозвољава саобраћај између клијената, VPN клијент искључује локалну подмрежу из тунела, а штампач и даље не одговара јер заштитни зид хоста третира Wi-Fi мрежу као јавну. Три слоја, три различите подразумеване вредности, и само је рута видљива у већини VPN дневника.

Утврдите која су врата затворена

Почните тестом који уклања VPN из слике: повежите два обична уређаја на исти SSID и покушајте с једнога да дођете на други по адреси. Ако то пропадне, приступна тачка изолује и ниједна VPN поставка то неће поправити. Ако успе, пређите на клијента и покрените ip route get 192.168.1.50 на Linux-у или Find-NetRoute -RemoteIPAddress 192.168.1.50 на Windows-у; излаз наводи интерфејс који ће пакет користити.

Кад рута показује на Wi-Fi интерфејс, пакет излази нешифрован и питање постаје да ли то приступна тачка и заштитни зид хоста дозвољавају. Кад рута показује на тунел, одредиште се шаље VPN серверу, што је погрешно за уређај на истој локалној мрежи и обично значи да је листа дозвољеног у тунелу преширока.

Директна веза на порт штампача бољи је тест од листе за откривање. nc -vz 192.168.1.50 9100 на Linux-у или Test-NetConnection 192.168.1.50 -Port 9100 у PowerShell-у каже да ли је адреса уопште достижна, пре него што било какво упаривање на нивоу апликације уђе у расправу.

Изаберите поправку за мрежу у којој се налазите

На хотелској или гостујућој мрежи изолација је намерна и не треба је покушавати савладати. Третирајте локални уређај као недостижан, користите VPN да дођете до хоста који може да штампа или дели и престаните да SSID третирате као локалну мрежу.

Код куће је искључивање изолације на главном SSID-у разумно кад су уређаји ваши, док гостујући SSID остаје изолован. Поставка живи у бежичној конфигурацији приступне тачке и тамо јој је место, а не у изузецима заштитног зида на сваком клијенту.

У канцеларији претпоставите да су приступна тачка, VLAN и заштитни зид хоста сви намерни. Ескалирајте са резултатима тестова уместо да тражите да се изолација искључи, јер мрежа која раздваја клијенте обично нешто штити.

Проверите апликацију, не само ping

Успешан ping доказује пут, не услугу. Штампачи често прихватају сирови 9100 или IPP на 631, али одбијају откривање, а дељење датотека тражи 445 плус исправно разрешавање имена. Потврдите порт који апликација користи, па покушајте поново стварни задатак на уређају.

Држите два слоја одвојено у својим белешкама: шта Wi-Fi мрежа дозвољава и шта VPN усмерава. Следећи пут кад уређај нестане са листе, та подела ће вам рећи где прво да гледате.