Wi-Fi-åtkomstpunkt bakom en VPN-gateway: behåll ett enda LAN

Brolagd åtkomstpunkt eller ett andra routat segment? Skillnaden är vem som äger adressering, DNS och tunneln, och det avgör var policyn bor.

Trådlösa klienter kan sitta bakom en VPN utan att åtkomstpunkten vet något om tunneln. Brolägg radion till gatewayens LAN, låt gatewayen äga adressering och tunnel, och varje enhet på Wi-Fi:en ärver samma policy. Alternativet, ett andra routat segment med egen gateway, är en annan design med ett annat felbeteende.

De två förväxlas eftersom båda sätter en låda mellan internet och dina enheter. Att jämföra vad var och en äger är det snabbaste sättet att välja.

Två sätt att sätta VPN:en framför Wi-Fi:en

I en brolagd uppställning bär åtkomstpunkten ramar mellan radion och det kabelbundna segmentet och ingenting annat: ett subnät, en adressmyndighet, en router som verkställer policyn. I en routad uppställning har den andra lådan egna adresser, eget DHCP-område och egen standardväg, så trafiken korsar ännu en gräns innan den når tunneln. Den brolagda designen får varje trådlös enhet att se lokal ut för gatewayen, och därför täcker en regeluppsättning dem alla. Den routade designen ger dig ett segment att tänka på och en andra plats där policyn kan gå fel.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Välj brolagd när kravet är att trådlösa enheter använder samma tunnel som kabelbundna. Välj routad när du vill ha ett segment som kan isoleras, eller när den andra lådan redan finns som router.

Vad den brolagda uppställningen faktiskt ändrar

Broläggning tar bort ett översättningslager och en konkurrerande standardgateway och lägger till ett hanteringsproblem. Åtkomstpunkten behöver fortfarande en adress du kan nå, vilket leverantörens arbetsflöde vanligtvis ordnar via huvud-LAN:et. Dess DHCP-tjänst måste vara avstängd, annars delar två myndigheter ut motstridiga leasingavtal. Gatewayen behåller tunneln, inställningarna för resolvern och beslutet om vad som händer när tunneln faller, så policyn bor på exakt ett ställe.

Radion ärver inget av detta automatiskt från tunneln. Den slutar bara lägga till lager som skulle dölja det.

Var ett andra routat segment passar

Ett routat segment förtjänar sin komplexitet när enheterna bakom det behöver en annan behandling än resten av LAN:et. Ett gästnät, ett labb eller en grupp klienter som alltid måste gå ut genom ett visst land är alla skäl att sätta en router i vägen. Priset är en andra adressmyndighet, en andra brandvägg som måste hållas konsekvent och en returväg från huvud-LAN:et om någon där behöver nå segmentet. Det är åtaganden, inte konfigurationsdetaljer.

Det vanliga misstaget är att bygga den routade versionen av misstag, genom att återanvända en router som fortfarande kör sin egen DHCP och översättning. Det ger dubbel översättning och en policy ingen kan spåra.

Testa från en Wi-Fi-klient, inte från gatewayen

En lyckad begäran på gatewayen bevisar att tunneln fungerar för gatewayen. Den verkliga frågan är om en trådlös klients vidarebefordrade trafik använder den, och det måste observeras från klienten. Kommandona nedan kontrollerar klientens adress, dess väg och den adress en fjärrtjänst ser.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

En adress inne i gatewayens LAN bekräftar att bron släpper igenom ramar i stället för att översätta dem. En väg vars första hopp är gatewayen bekräftar att klienten inte har fått en andra standardväg från någon annanstans. Kontrollen av utadressen svarar på den verkliga frågan, och den korta spårningen visar om de första hoppen är de förväntade. Om klientens adress kommer från ett annat område är en vilsekommen DHCP-server den första misstänkta.

Skriv ner rollen för varje låda, dess adress och DHCP-myndigheten. Ett diagram med tre linjer räcker, och det avgör de flesta diskussioner om var en regel hör hemma.

Relaterade artiklar