Hemmasegment endast VPN: stäng av reservvägen, inte bara SSID:t

Du sätter gäst-SSID:t på VPN:t och kallar segmentet endast-VPN. Sedan faller tunneln i två minuter och enheterna återgår tyst till det vanliga WAN:et. Inget i SSID-namnet hindrade det. Ett endast-VPN-segment definieras av vad som händer när tunneln inte är tillgänglig, inte av nätverkets etikett.

Etiketten är ett löfte; reservvägspolicyn är verkställandet.

Myt: SSID:t är gränsen

Ett SSID utan egen vidarebefordringspolicy är bara ett namn. Gränsen är ett separat gränssnitt, VLAN eller subnät med eget DHCP-område och egna regler. Ett VLAN ger dig en vidarebefordringsgräns som ett Wi-Fi-namn inte kan ge.

Klientisolering hör också till designen. Två enheter i segmentet kan behöva prata med varandra, eller inte, och det valet bör vara explicit i stället för att ärvas från en gästprofil.

Skriv ner segmentets gränssnitt och adressområde innan du skriver en enda regel. Den raden förhindrar det mesta av den senare förvirringen.

Myt: tunnelrutten täcker alla protokoll

Tillämpa firmwarens policy på segmentet så att dess internettrafik använder tunneln. Konfigurera den vidarebefordran och översättning på distans som tunneln kräver. Behåll bara den lokala resursåtkomst som segmentet faktiskt behöver.

Kontrollera båda adressfamiljerna. Om IPv6 inte förs genom tunneln måste policyn hantera det, annars hittar en IPv6-kapabel enhet en direktväg du inte avsåg.

En kill switch endast för IPv4 med IPv6 aktiverat är ett vanligt sätt att läcka. Testa med en IPv6-kapabel klient, inte bara med laptopen du har till hands.

Myt: DNS och tunnelns slutpunkt följer tunneln

Routerns DNS kan genereras lokalt och följa routerns egen routingtabell, inte segmentets policy. Bestäm vilken väg den resolvern ska använda och vad den gör när tunneln misslyckas. VPN:ets egen slutpunktsanslutning är ett annat undantag: den behöver den dokumenterade yttre rutten till peeren. Led den anslutningen in i tunneln och den kan inte komma upp.

Håll återställningsadministration separat från segmentets internetåtkomst. Om en misslyckad peer också låser dig ute från routern har du förvandlat ett tunnelavbrott till ett besök på plats. Håll den åtkomsten på ett hanteringsnät, inte på endast-VPN-segmentet.

Vad som faktiskt gör det till endast-VPN

Blockera vanlig WAN-vidarebefordran för segmentet när tunneln är nere. Det är den regeln, inte SSID:t, som gör etiketten sann. Testa den med ofarlig trafik från en enhet i segmentet.

Gör tre kontroller: normal drift genom tunneln, det tillåtna feltestet med tunneln nere och återställning när den kommer tillbaka. Bekräfta att ett annat hushållssegment behåller sin avsedda rutt hela tiden. Dokumentera eventuella direkta undantag, annars döljer etiketten rutter du inte längre minns.

En kort registrering av segmentet, den valda tunneln och undantagen ger dig specifika kontroller efter att en firmwareuppdatering ändrar regelordningen eller resolverns beteende. pfSense WireGuard-klientreceptet är en användbar referens för tunnelsidan, inte en ersättning för segmentpolicyn.