การแยกไคลเอนต์ Wi-Fi เทียบกับการเข้าถึงในเครือข่ายท้องถิ่นผ่าน VPN: อะไรที่บล็อกคุณ

วางโทรศัพท์สองเครื่องบน SSID ของแขกเดียวกัน แล้วทั้งสองมองไม่เห็นกัน แต่ทั้งคู่เข้าถึงอินเทอร์เน็ตได้ เพิ่มไคลเอนต์ VPN ในเครื่องหนึ่ง เครื่องพิมพ์ที่อยู่ห่างสามเมตรยังคงมองไม่เห็น ขณะที่เซิร์ฟเวอร์อีกทวีปหนึ่งตอบ ping ไม่มีอะไรเสียในอุโมงค์ มีการตัดสินใจเรื่องการเข้าถึงสองอย่างแยกกัน และมีเพียงอย่างเดียวที่เกี่ยวกับการกำหนดเส้นทาง จุดเชื่อมต่อเป็นผู้ตัดสินว่าไคลเอนต์ไร้สายคุยกันได้หรือไม่ และไคลเอนต์ VPN ตัดสินว่าปลายทางใดออกผ่านอุโมงค์ การสับสนสองอย่างนี้ทำให้ต้องแก้การตั้งค่าอย่างเปล่าประโยชน์หลายชั่วโมง

สองประตูเป็นอิสระจากกัน

การแยกไคลเอนต์เป็นการตัดสินใจเรื่องการสวิตช์ จุดเชื่อมต่อรับเฟรมจากสถานีที่เชื่อมต่ออยู่หนึ่งสถานี มองไปที่ปลายทาง สังเกตว่าปลายทางเป็นสถานีอื่นบนบริดจ์เดียวกัน จึงทิ้งเฟรมนั้น ที่อยู่ IP ของสถานีไม่เกี่ยวข้องกับการตัดสินใจนั้น และ VPN ก็เช่นกัน

การกำหนดเส้นทางเป็นการตัดสินใจอีกอย่างที่ทำบนไคลเอนต์ ตารางเส้นทางของ VPN ตัดสินว่าแพ็กเก็ตที่ไปยัง 192.168.1.50 จะเข้าอุโมงค์หรือออกผ่านอินเทอร์เฟซ Wi-Fi หากแพ็กเก็ตออกผ่าน Wi-Fi และจุดเชื่อมต่อแยกไคลเอนต์ แพ็กเก็ตนั้นก็ตายที่จุดเชื่อมต่อ หากแพ็กเก็ตเข้าอุโมงค์ จุดเชื่อมต่อจะไม่เห็นปลายทางเดิมเลยและแยกอะไรไม่ได้

สิ่งที่การแยกบล็อกบนจุดเชื่อมต่อทั่วไป

ผู้ผลิตส่งมอบสิ่งนี้ภายใต้หลายชื่อ ทั้งการแยกไคลเอนต์ การแยก AP การแยกสถานี หรือเครือข่ายแขกที่สื่อความหมายถึงสิ่งนี้ ใน OpenWrt ตัวเลือกต่ออินเทอร์เฟซคือ isolate ภายในการตั้งค่าไร้สาย ตามที่อธิบายในเอกสารไร้สาย และ SSID ของแขกมักได้บริดจ์และโซนไฟร์วอลล์ของตัวเอง ผลคือเฟรม unicast ระหว่างไคลเอนต์ไม่ถูกบริดจ์ ดังนั้น ping การเชื่อมต่อ SMB หรืองานพิมพ์ไปยังเพื่อนบ้านจึงล้มเหลว แม้อุปกรณ์ทั้งสองแสดงสัญญาณเต็ม

โปรโตคอลการค้นหาวิธีได้รับผลกระทบก่อนและชัดเจนที่สุด mDNS สำหรับเครื่องพิมพ์และอุปกรณ์มีเดียเดินทางด้วย multicast ไปยัง 224.0.0.251 ส่วน SSDP ใช้ 239.255.255.250 และการที่เฟรมเหล่านั้นข้ามบริดจ์หรือไม่ขึ้นอยู่กับผู้ผลิตและขึ้นอยู่กับว่าการแปลง multicast เป็น unicast เปิดอยู่หรือไม่ อุปกรณ์ที่หายไปจากรายการเป็นหลักฐานที่อ่อนกว่าการเชื่อมต่อตรงที่ล้มเหลวไปยังที่อยู่ที่รู้จัก

สิ่งที่ VPN เปลี่ยน และสิ่งที่มันเปลี่ยนไม่ได้

อุโมงค์เต็มรูปแบบใช้เส้นทางเริ่มต้น ดังนั้นซับเน็ตท้องถิ่นจะเข้าถึงได้ก็ต่อเมื่อไคลเอนต์เก็บเส้นทางที่เฉพาะเจาะจงกว่าไว้สำหรับซับเน็ตเหล่านั้น อุโมงค์แบบแยกทำตรงกันข้ามและรักษาการเข้าถึงในเครือข่ายท้องถิ่นตามการออกแบบ ไม่มีการตั้งค่าใดที่บังคับให้จุดเชื่อมต่อที่แยกไคลเอนต์ส่งต่อเฟรมระหว่างไคลเอนต์สองเครื่องของมันได้ ดังนั้นการอนุญาตทราฟฟิกท้องถิ่นในไคลเอนต์ VPN จึงจำเป็นแต่ไม่เพียงพอ

กรณีตรงกันข้ามก็พบบ่อยพอ ๆ กัน จุดเชื่อมต่ออนุญาตทราฟฟิกระหว่างเครื่อง ไคลเอนต์ VPN ตัดซับเน็ตท้องถิ่นออกจากอุโมงค์ และเครื่องพิมพ์ยังไม่ตอบเพราะไฟร์วอลล์ของโฮสต์ถือว่าเครือข่าย Wi-Fi เป็นเครือข่ายสาธารณะ สามชั้น สามค่าเริ่มต้นที่ต่างกัน และมีเพียงเส้นทางเท่านั้นที่มองเห็นได้ในบันทึก VPN ส่วนใหญ่

ระบุว่าประตูไหนปิดอยู่

เริ่มด้วยการทดสอบที่เอา VPN ออกจากภาพ: เชื่อมต่ออุปกรณ์ธรรมดาสองเครื่องเข้ากับ SSID เดียวกัน แล้วลองเข้าถึงอีกเครื่องด้วยที่อยู่ หากล้มเหลว จุดเชื่อมต่อกำลังแยกอยู่ และไม่มีการตั้งค่า VPN ใดแก้ไขได้ หากสำเร็จ ให้ไปที่ไคลเอนต์และรัน ip route get 192.168.1.50 บน Linux หรือ Find-NetRoute -RemoteIPAddress 192.168.1.50 บน Windows ผลลัพธ์จะระบุอินเทอร์เฟซที่แพ็กเก็ตจะใช้

เมื่อเส้นทางชี้ไปที่อินเทอร์เฟซ Wi-Fi แพ็กเก็ตออกไปโดยไม่เข้ารหัส และคำถามคือจุดเชื่อมต่อกับไฟร์วอลล์ของโฮสต์อนุญาตหรือไม่ เมื่อเส้นทางชี้ไปที่อุโมงค์ ปลายทางกำลังถูกส่งไปยังเซิร์ฟเวอร์ VPN ซึ่งผิดสำหรับอุปกรณ์บน LAN เดียวกัน และมักหมายความว่ารายการที่อนุญาตของอุโมงค์กว้างเกินไป

การเชื่อมต่อตรงไปยังพอร์ตของเครื่องพิมพ์เป็นการทดสอบที่ดีกว่ารายการค้นหา nc -vz 192.168.1.50 9100 บน Linux หรือ Test-NetConnection 192.168.1.50 -Port 9100 บน PowerShell บอกคุณว่าที่อยู่เข้าถึงได้หรือไม่เลย ก่อนที่การจับคู่ระดับแอปพลิเคชันใด ๆ จะเข้ามาในการอภิปราย

เลือกวิธีแก้สำหรับเครือข่ายที่คุณอยู่

บนเครือข่ายโรงแรมหรือเครือข่ายแขก การแยกเป็นเรื่องตั้งใจและคุณไม่ควรพยายามฝ่ามัน มองอุปกรณ์ท้องถิ่นว่าเข้าถึงไม่ได้ ใช้ VPN เพื่อไปยังโฮสต์ที่พิมพ์หรือแชร์ได้ และเลิกมอง SSID เป็น LAN

ที่บ้าน การปิดการแยกบน SSID หลักเป็นเรื่องสมเหตุสมผลเมื่ออุปกรณ์เป็นของคุณ ขณะที่ SSID ของแขกยังคงถูกแยก การตั้งค่าอยู่ในการตั้งค่าไร้สายของจุดเชื่อมต่อ และควรอยู่ที่นั่น ไม่ใช่ในข้อยกเว้นไฟร์วอลล์บนไคลเอนต์ทุกเครื่อง

ในออฟฟิศ ให้ถือว่าจุดเชื่อมต่อ VLAN และไฟร์วอลล์ของโฮสต์ล้วนเป็นเรื่องตั้งใจ ยกระดับพร้อมผลการทดสอบแทนที่จะขอให้ปิดการแยก เพราะเครือข่ายที่แยกไคลเอนต์มักกำลังปกป้องอะไรบางอย่าง

ตรวจสอบแอปพลิเคชัน ไม่ใช่แค่ ping

ping ที่สำเร็จพิสูจน์เส้นทาง ไม่ใช่บริการ เครื่องพิมพ์มักรับ 9100 ดิบหรือ IPP บนพอร์ต 631 แต่ปฏิเสธการค้นหา และการแชร์ไฟล์ต้องใช้ 445 พร้อมการแปลงชื่อที่ทำงานได้ ยืนยันพอร์ตที่แอปพลิเคชันใช้ แล้วลองงานจริงบนอุปกรณ์อีกครั้ง

แยกสองชั้นออกจากกันในบันทึกของคุณ: สิ่งที่เครือข่าย Wi-Fi อนุญาต และสิ่งที่ VPN กำหนดเส้นทาง ครั้งหน้าที่อุปกรณ์หายไปจากรายการ การแยกนั้นจะบอกคุณว่าควรมองที่ไหนก่อน