เซกเมนต์บ้านที่ใช้เฉพาะ VPN: ปิดเส้นทางสำรอง ไม่ใช่แค่ SSID

คุณวาง SSID สำหรับแขกบน VPN แล้วเรียกเซกเมนต์นั้นว่าเฉพาะ VPN จากนั้นอุโมงค์ล่มเป็นเวลาสองนาทีและอุปกรณ์ก็กลับไปยัง WAN ปกติอย่างเงียบ ๆ ไม่มีอะไรในชื่อ SSID ที่ป้องกันสิ่งนั้น เซกเมนต์เฉพาะ VPN ถูกกำหนดโดยสิ่งที่เกิดขึ้นเมื่ออุโมงค์ไม่พร้อมใช้งาน ไม่ใช่โดยป้ายกำกับของเครือข่าย

ป้ายกำกับคือคำสัญญา นโยบายสำรองคือการบังคับใช้

ความเชื่อผิด: SSID คือขอบเขต

SSID ที่ไม่มีนโยบายส่งต่อของตัวเองเป็นเพียงชื่อ ขอบเขตคืออินเทอร์เฟซ VLAN หรือซับเน็ตแยกต่างหาก ที่มีขอบเขต DHCP และกฎของตัวเอง VLAN ให้ขอบเขตการส่งต่อที่ชื่อ Wi-Fi ให้ไม่ได้

การแยกไคลเอนต์ก็เป็นส่วนหนึ่งของการออกแบบ อุปกรณ์สองเครื่องในเซกเมนต์อาจต้องคุยกัน หรืออาจไม่ต้อง และทางเลือกนั้นควรชัดเจนแทนที่จะสืบทอดจากโปรไฟล์แขก

จดอินเทอร์เฟซและช่วงที่อยู่ของเซกเมนต์ก่อนเขียนกฎสักข้อ บรรทัดเดียวนั้นป้องกันความสับสนในภายหลังได้มาก

ความเชื่อผิด: เส้นทางอุโมงค์ครอบคลุมทุกโปรโตคอล

ใช้นโยบายของเฟิร์มแวร์กับเซกเมนต์นั้นเพื่อให้ทราฟฟิกที่ออกสู่อินเทอร์เน็ตใช้อุโมงค์ กำหนดค่าการส่งต่อและการแปลระยะไกลที่อุโมงค์ต้องใช้ เก็บไว้เฉพาะการเข้าถึงทรัพยากรภายในที่เซกเมนต์ต้องการจริง ๆ

ตรวจสอบทั้งสองตระกูลที่อยู่ หาก IPv6 ไม่ถูกส่งผ่านอุโมงค์ นโยบายต้องจัดการมัน ไม่อย่างนั้นอุปกรณ์ที่รองรับ IPv6 จะพบเส้นทางตรงที่คุณไม่ได้ตั้งใจ

สวิตช์ตัดการเชื่อมต่อเฉพาะ IPv4 ขณะเปิด IPv6 เป็นวิธีรั่วไหลที่พบบ่อย ทดสอบด้วยไคลเอนต์ที่รองรับ IPv6 ไม่ใช่แค่แล็ปท็อปที่อยู่ใกล้มือ

ความเชื่อผิด: DNS และปลายทางของอุโมงค์เป็นไปตามอุโมงค์

DNS ของเราเตอร์อาจถูกสร้างในเครื่องและเป็นไปตามตารางเส้นทางของเราเตอร์เอง ไม่ใช่นโยบายของเซกเมนต์ ตัดสินใจว่า resolver นั้นควรใช้เส้นทางใดและทำอะไรเมื่ออุโมงค์ล้มเหลว การเชื่อมต่อปลายทางของ VPN เองก็เป็นข้อยกเว้นอีกข้อ ต้องใช้เส้นทางภายนอกที่บันทึกไว้ไปยังเพียร์ หากส่งการเชื่อมต่อนั้นเข้าอุโมงค์ มันจะไม่สามารถขึ้นได้

แยกการบริหารการกู้คืนออกจากการเข้าถึงอินเทอร์เน็ตของเซกเมนต์ หากเพียร์ที่ล้มเหลวยังล็อกคุณออกจากเราเตอร์ด้วย คุณก็เปลี่ยนเหตุอุโมงค์ล่มให้เป็นการไปหน้างาน เก็บการเข้าถึงนั้นไว้บนเครือข่ายบริหาร ไม่ใช่บนเซกเมนต์เฉพาะ VPN

อะไรทำให้มันเป็นเฉพาะ VPN จริง ๆ

บล็อกการส่งต่อ WAN ปกติสำหรับเซกเมนต์ทุกครั้งที่อุโมงค์ล่ม กฎนั้น ไม่ใช่ SSID คือสิ่งที่ทำให้ป้ายกำกับเป็นจริง ทดสอบด้วยทราฟฟิกที่ไม่เป็นอันตรายจากอุปกรณ์ในเซกเมนต์

ทำการตรวจสอบสามอย่าง การทำงานปกติผ่านอุโมงค์ การทดสอบความล้มเหลวที่อนุญาตเมื่ออุโมงค์ล่ม และการกู้คืนเมื่อมันกลับมา ยืนยันว่าเซกเมนต์บ้านอีกเซกเมนต์หนึ่งยังคงเส้นทางที่ตั้งใจไว้ตลอดเวลา บันทึกข้อยกเว้นโดยตรงใด ๆ ไว้ ไม่อย่างนั้นป้ายกำกับจะซ่อนเส้นทางที่คุณจำไม่ได้แล้ว

บันทึกสั้น ๆ เกี่ยวกับเซกเมนต์ อุโมงค์ที่เลือก และข้อยกเว้น ให้การตรวจสอบที่เฉพาะเจาะจงหลังจากอัปเดตเฟิร์มแวร์เปลี่ยนลำดับกฎหรือพฤติกรรมของ resolver สูตรไคลเอนต์ WireGuard ของ pfSense เป็นข้อมูลอ้างอิงที่มีประโยชน์สำหรับฝั่งอุโมงค์ ไม่ใช่สิ่งทดแทนนโยบายของเซกเมนต์