Wi-Fi ya wageni inaendelea kutumia njia kuu: ipe njia yake ya kutokea

Uliunda mtandao wa wageni, ukaongeza njia kwa ajili yake, na wageni bado wanatoka kupitia muunganisho wako wa kawaida wa intaneti. Handaki liko juu, LAN kuu inafanya kazi, na vifaa vya wageni vinaripoti anwani katika masafa uliyogawa, kwa hivyo hakuna kinachoonekana kuvunjika. Kinachokosekana kwa kawaida si njia bali kichaguo: kipanga njia huamua njia kabla ya kuzingatia ni kiolesura gani kifurushi kilifika, na ikiwa hakuna kitu kinacholingana wazi na trafiki ya wageni, trafiki hiyo hurithi chaguo-msingi. Suluhisho ni sehemu, kanuni ya sera na njia ya jibu, kwa mpangilio huo.

Dalili: wageni bado wanatoka kupitia WAN

Kidokezo ni anwani ya kutokea. Kifaa cha mgeni kinachofikia intaneti kupitia handaki kitaripoti anwani ya mtoa handaki, na kile kilichorithi chaguo-msingi kitaripoti muunganisho wako wa kawaida. Linganisha kifaa cha mgeni na kifaa cha LAN kuu kwa upande, kwa sababu kesi ya kuvutia ni pale vinapotofautiana na ulivyoweka na kupatana wenyewe kwa wenyewe.

Kidokezo cha pili ni kutokuwepo kwa trafiki yoyote kwenye kiolesura cha handaki wakati wageni wanavinjari. Ikiwa vihesabu hazitembei, sera haikutumika kamwe, na kurekebisha handaki yenyewe hakuwezi kusaidia.

Hatua 1: sehemu halisi, sio jina tu

Jina la SSID haliundi utengano. Angalia kwamba mtandao wa wageni unaishia kwenye kiolesura chake, VLAN au daraja lake, na kwamba masafa ya anwani ni tofauti na LAN inayoaminika. Katika sehemu nyingi za ufikiaji za watumiaji, SSID ya wageni huunganishwa kwa daraja katika sehemu moja na kila kitu kingine, jambo ambalo hufanya kazi iliyobaki kuwa isiyowezekana hadi hilo lirekebishwe.

Kisha thibitisha masafa ya wageni na seva yake ya DHCP, na uweke mipangilio ya kisuluhishi ikiwa imeunganishwa na sehemu hiyo badala ya kipanga njia kizima. Subnet ya wageni inayokuwepo tu kama maoni katika kanuni ya firewall si sehemu, na kipanga njia hakitakuwa na kiolesura cha kulinganisha.

Usiunganishe wageni kwa daraja kwenye LAN kuu ili VPN iwe rahisi kusanidi. Hiyo hubadilisha utengano uliotaka kwa njia ya mkato ya uelekezaji, na ndiyo sababu ya kawaida kwa mtandao wa wageni kuishia na ufikiaji wa kichapishi na NAS.

Hatua 2: chagua handaki kwa chanzo

Majedwali ya uelekezaji huchaguliwa kwa marudio, kwa hivyo kanuni inayosema «tuma 0.0.0.0/0 kwenye handaki» inatumika kwa kila mtu. Uelekezaji wa sera huongeza kipimo cha pili: chagua jedwali kwa anwani ya chanzo. Kwenye kipanga njia kinachotegemea Linux, hiyo ni kanuni ya ziada pamoja na jedwali maalum, na mpangilio ni muhimu kwa sababu kanuni ya kwanza inayolingana hushinda:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Amri hiyo ya mwisho inajibu swali moja kwa moja: kiolesura gani chanzo hiki kitatumia kwa marudio haya. Iendeshe kabla na baada ya mabadiliko na utajua kama sera ilianza kutumika bila kugusa kivinjari.

Firmware nyingi za kipanga njia hueleza kitu kimoja kama kanuni ya kiolesura au uchaguzi wa lango unaotegemea chanzo. Lolote sintaksia inayotumiwa na jukwaa lako, kanuni ni ile ile: linganisha kiolesura cha kuingia au kiambishi cha chanzo, kisha batilisha njia kwa ulinganifu huo pekee. Kanuni inayolingana kwa marudio haiwezi kutofautisha mgeni na kifaa cha nyumbani.

Hatua 3: njia ya jibu na tafsiri

Kifurushi kinachotoka kupitia handaki lazima kirudi. Ama mwenzi wa handaki anajua njia ya kurudi kwenye kiambishi cha wageni, au kipanga njia hutafsiri chanzo cha wageni kuwa anwani ya handaki. Chagua kimoja na uandike, kwa sababu hali za kushindwa zinaonekana tofauti: njia ya kurudi inayokosekana hutoa muunganisho unaojengwa na haujibu kamwe, wakati tafsiri inayokosekana mara nyingi haitoi chochote.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Ukichagua tafsiri, kumbuka kwamba mwenzi sasa anaona anwani moja kwa kila mgeni, kwa hivyo sera yoyote ya kwa mteja kwenye mwisho wa mbali hupotea. Ukihifadhi anwani badala yake, pande zote mbili zinahitaji kiambishi cha wageni katika uelekezaji na sera zao, jambo ambalo ni kazi zaidi na linatabirika zaidi.

IPv6 inahitaji kanuni yake. Sera iliyoandikwa kwa IPv4 haifuniki familia nyingine, na kifaa cha mgeni kilicho na IPv6 inayofanya kazi kitaitumia kwa furaha wakati njia yako ya IPv4 iliyoelekezwa kwa uangalifu ikiwa bila kutumika. Elekeza familia zote mbili au zima IPv6 kwenye sehemu ya wageni, lakini usidhani kwamba kanuni ya pamoja uliyoandika inafunika kile kifaa kinachofanya kweli. Jaribu na mteja aliye na familia zote mbili zimewashwa, kwa sababu hiyo ndiyo kesi ambayo muundo unapaswa kustahimili. Kompyuta ya mkononi inayopendelea IPv6 inaonekana sahihi katika jaribio la IPv4 pekee na inavuja katika la kweli.

Jaribu utengano, sio kuvinjari tu

Kuvinjari kunathibitisha kwamba njia ya kutokea ilibadilika. Hakuthibitishi kwamba sehemu imetengwa, na utengano ndiyo sababu mtandao wa wageni upo. Kutoka kwa kifaa cha mgeni, jaribu kufikia kiolesura cha utawala cha kipanga njia, mwenyeji wa LAN inayoaminika na huduma ambayo inapaswa kukataliwa; zote tatu zinapaswa kushindwa, na kushindwa kunapaswa kuwa uamuzi wa sera badala ya muda wa kusubiri ambao hakuna anayeweza kueleza.

Kisha jaribu kifaa cha LAN kuu na uthibitisha kwamba njia yake ya kutokea haikubadilika. Hiyo ni regression ambayo muundo huu husababisha mara nyingi zaidi: kanuni pana iliyokusudiwa wageni, ikitumika kwa kila kiolesura kwa sababu ulinganifu uliandikwa kwa marudio.

Hatimaye, amua nini kinatokea wakati handaki liko chini. Wageni ama hawapati intaneti au wanaangukia njia unayoidhinisha, na kuacha hilo bila uamuzi kunamaanisha kurudi kimyakimya kwenye muunganisho wa kawaida, ambayo ndiyo uvujaji ambao sera ya wageni ilikusudiwa kuzuia. Mapishi ya uelekezaji wa trafiki ya intaneti hupitia uteuzi huo wa njia kwa kipanga njia kinachotegemea pfSense.

DNS inayotoka kwenye kipanga njia ndiyo kesi inayowashangaza watu mwisho. Ikiwa wageni wanatumia kipanga njia kama kisuluhishi chao, maswali ya kipanga njia yenyewe hufuata njia ya kipanga njia badala ya kanuni ya wageni, kwa hivyo utafutaji unaweza kutoka kupitia muunganisho wa kawaida wakati trafiki ya programu haitoki. Weka sehemu, kisuluhishi na sera ya kushindwa katika noti moja, na mtu anayefuata ataweza kuangalia zote tatu bila kupata muundo upya.