จุดเข้าใช้งาน Wi-Fi หลังเกตเวย์ VPN: เก็บ LAN เดียว

ไคลเอนต์ไร้สายอยู่หลัง VPN ได้โดยที่จุดเข้าใช้งานไม่รู้อะไรเกี่ยวกับอุโมงค์เลย สะพานวิทยุเข้า LAN ของเกตเวย์ ให้เกตเวย์ถือการกำหนดที่อยู่และอุโมงค์ แล้วทุกอุปกรณ์บน Wi-Fi จะสืบทอดนโยบายเดียวกัน ทางเลือกอื่นคือเซกเมนต์ที่เราเตอร์ตัวที่สองซึ่งมีเกตเวย์ของตัวเอง เป็นการออกแบบที่ต่างกันด้วยโหมดความล้มเหลวที่ต่างกัน

ทั้งสองสับสนกันเพราะทั้งคู่วางกล่องไว้ระหว่างอินเทอร์เน็ตกับอุปกรณ์ของคุณ การเทียบว่าอันไหนถืออะไรเป็นวิธีที่เร็วที่สุดในการเลือก

สองวิธีวาง VPN ไว้หน้า Wi-Fi

ในการจัดวางแบบบริดจ์ จุดเข้าใช้งานส่งผ่านเฟรมระหว่างวิทยุกับเซกเมนต์แบบมีสายและไม่ทำอะไรอื่น: หนึ่งซับเน็ต หนึ่งผู้ถือที่อยู่ หนึ่งเราเตอร์ที่บังคับใช้นโยบาย ในการจัดวางแบบเราเตอร์ กล่องที่สองมีที่อยู่ของตัวเอง มีขอบเขต DHCP ของตัวเอง และมีเส้นทางเริ่มต้นของตัวเอง ดังนั้นข้อมูลจึงข้ามพรมแดนอีกชั้นก่อนถึงอุโมงค์ การออกแบบแบบบริดจ์ทำให้ทุกอุปกรณ์ไร้สายดูเป็นเครื่องในท้องถิ่นสำหรับเกตเวย์ นั่นคือเหตุผลที่ชุดกฎชุดเดียวครอบคลุมทั้งหมด ส่วนการออกแบบแบบเราเตอร์ให้เซกเมนต์ที่ต้องคิดและจุดที่สองที่นโยบายจะผิดพลาดได้

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

เลือกแบบบริดจ์เมื่อข้อกำหนดคือให้อุปกรณ์ไร้สายใช้อุโมงค์เดียวกับอุปกรณ์แบบมีสาย เลือกแบบเราเตอร์เมื่อคุณต้องการเซกเมนต์ที่แยกได้ หรือเมื่อกล่องที่สองมีอยู่แล้วในฐานะเราเตอร์

การจัดวางแบบบริดจ์เปลี่ยนอะไรจริง

การบริดจ์ลบชั้นการแปลงและเกตเวย์เริ่มต้นที่แข่งขันกัน และเพิ่มปัญหาการจัดการ จุดเข้าใช้งานยังต้องมีที่อยู่ที่คุณเข้าถึงได้ ซึ่งขั้นตอนของผู้ขายมักจัดผ่าน LAN หลัก บริการ DHCP ของมันต้องปิด ไม่อย่างนั้นผู้ถือสองรายจะแจกสัญญาเช่าที่ขัดแย้งกัน เกตเวย์เก็บอุโมงค์ การตั้งค่าตัวแปลงชื่อ และการตัดสินว่าเกิดอะไรขึ้นเมื่ออุโมงค์ล่ม นโยบายจึงอยู่ที่เดียวเท่านั้น

วิทยุไม่ได้รับสิ่งเหล่านั้นจากอุโมงค์โดยอัตโนมัติ มันเพียงหยุดเพิ่มชั้นที่จะบดบังมัน

เซกเมนต์ที่เราเตอร์ตัวที่สองเหมาะตรงไหน

เซกเมนต์แบบเราเตอร์คุ้มกับความซับซ้อนเมื่ออุปกรณ์ที่อยู่ข้างหลังต้องการการดูแลต่างจาก LAN ส่วนที่เหลือ เครือข่ายแขก ห้องทดลอง หรือกลุ่มไคลเอนต์ที่ต้องออกผ่านประเทศใดประเทศหนึ่งเสมอ ล้วนเป็นเหตุผลในการวางเราเตอร์ไว้ในเส้นทาง ต้นทุนคือผู้ถือที่อยู่รายที่สอง ไฟร์วอลล์ตัวที่สองที่ต้องดูแลให้สอดคล้องกัน และเส้นทางย้อนกลับจาก LAN หลักหากมีคนที่นั่นต้องเข้าถึงเซกเมนต์ สิ่งเหล่านี้เป็นพันธะไม่ใช่รายละเอียดการตั้งค่า

ข้อผิดพลาดที่พบบ่อยคือสร้างเวอร์ชันแบบเราเตอร์โดยไม่ตั้งใจ ด้วยการนำเราเตอร์ที่ยังรัน DHCP และการแปลงของตัวเองกลับมาใช้ซ้ำ นั่นให้การแปลงซ้อนและนโยบายที่ไม่มีใครตามรอยได้

ทดสอบจากไคลเอนต์ Wi-Fi ไม่ใช่จากเกตเวย์

คำขอที่สำเร็จบนเกตเวย์พิสูจน์ว่าอุโมงค์ทำงานสำหรับเกตเวย์ คำถามจริงคือข้อมูลที่ส่งต่อของไคลเอนต์ไร้สายใช้อุโมงค์นั้นหรือไม่ และต้องสังเกตจากไคลเอนต์ คำสั่งด้านล่างตรวจที่อยู่ของไคลเอนต์ เส้นทางของมัน และที่อยู่ที่บริการระยะไกลมองเห็น

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

ที่อยู่ภายใน LAN ของเกตเวย์ยืนยันว่าสะพานปล่อยเฟรมผ่านแทนที่จะแปลงมัน เส้นทางที่ฮอปแรกคือเกตเวย์ยืนยันว่าไคลเอนต์ไม่ได้ได้เส้นทางเริ่มต้นที่สองจากที่อื่น การตรวจที่อยู่ขาออกตอบคำถามจริง และรอยสั้นๆ แสดงว่าฮอปแรกเป็นอย่างที่คาดหรือไม่ หากที่อยู่ของไคลเอนต์มาจากขอบเขตอื่น ผู้ต้องสงสัยรายแรกคือเซิร์ฟเวอร์ DHCP ที่หลงทาง

จดบทบาทของแต่ละกล่อง ที่อยู่ของมัน และผู้ถือ DHCP แผนภาพสามเส้นก็พอ และมันยุติข้อโต้แย้งส่วนใหญ่ว่ากฎควรอยู่ที่ไหน