Patuloy na ginagamit ng Guest Wi-Fi ang pangunahing ruta: bigyan ito ng sariling labasan

Gumawa ka ng guest network, nagdagdag ka ng ruta para dito, at lumalabas pa rin ang mga bisita sa iyong normal na koneksyon sa internet. Aktibo ang tunnel, gumagana ang pangunahing LAN, at nag-uulat ang mga guest device ng address sa saklaw na inilaan mo, kaya wala namang mukhang sira. Ang madalas na kulang ay hindi ruta kundi tagapili: nagpapasya ang router sa landas bago pa isaalang-alang kung aling interface dumating ang packet, at maliban kung may eksaktong tugma sa trapik ng bisita, namamana ng trapik na iyon ang default. Ang solusyon ay isang segment, isang tuntunin ng patakaran at isang daan ng pagbabalik, sa ganoong pagkakasunod-sunod.

Ang sintomas: lumalabas pa rin ang mga bisita sa WAN

Ang palatandaan ay ang address ng labasan. Ang guest device na nakakaabot sa internet sa pamamagitan ng tunnel ay mag-uulat ng address ng provider ng tunnel, at ang namana ang default ay mag-uulat ng iyong normal na koneksyon. Ihambing nang magkatabi ang guest device at ang pangunahing LAN device, dahil ang kawili-wiling kaso ay kapag naiiba sila sa na-configure mo at nagtutugma sa isa't isa.

Ang ikalawang palatandaan ay ang kawalan ng anumang trapik sa interface ng tunnel habang nagba-browse ang mga bisita. Kung hindi gumagalaw ang mga counter, hindi kailanman inilapat ang patakaran, at ang pagsasaayos ng tunnel mismo ay hindi makakatulong.

Hakbang 1: tunay na segment, hindi lang pangalan

Ang pangalan ng SSID ay hindi lumilikha ng paghihiwalay. Tiyakin na nagtatapos ang guest network sa sarili nitong interface, VLAN o tulay, at naiiba ang saklaw ng address sa pinagkakatiwalaang LAN. Sa maraming consumer access point, ang guest SSID ay itinutulay sa parehong segment tulad ng lahat ng iba pa, na ginagawang imposible ang natitirang bahagi ng gawaing ito hanggang sa maitama iyon.

Pagkatapos ay kumpirmahin ang saklaw ng bisita at ang DHCP server nito, at panatilihing nakatali ang mga setting ng resolver sa segment na iyon sa halip na sa buong router. Ang guest subnet na umiiral lamang bilang komento sa isang tuntunin ng firewall ay hindi segment, at walang interface ang router na itutugma.

Huwag itulay ang mga bisita sa pangunahing LAN para gawing mas madali ang pag-configure ng VPN. Ipinagpapalit noon ang paghihiwalay na gusto mo sa isang shortcut sa pagruruta, at iyon ang karaniwang dahilan kung bakit nagkakaroon ng access ang guest network sa printer at NAS.

Hakbang 2: piliin ang tunnel ayon sa pinagmulan

Pinipili ang mga routing table ayon sa destinasyon, kaya ang tuntuning «ipadala ang 0.0.0.0/0 sa tunnel» ay nalalapat sa lahat. Ang policy routing ay nagdaragdag ng ikalawang dimensyon: piliin ang table ayon sa source address. Sa router na nakabatay sa Linux, ito ay karagdagang tuntunin at nakalaang table, at mahalaga ang pagkakasunod-sunod dahil ang unang tugmang tuntunin ang nananalo:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Ang huling utos na iyon ay direktang sumasagot sa tanong: aling interface ang gagamitin ng pinagmulang ito para sa destinasyong ito. Patakbuhin ito bago at pagkatapos ng pagbabago at malalaman mo kung nagkabisa ang patakaran nang hindi hinahawakan ang browser.

Ipinapahayag ng karamihan ng firmware ng router ang parehong bagay bilang tuntunin ng interface o pagpili ng gateway na nakabatay sa pinagmulan. Anuman ang sintaks na gamitin ng iyong platform, magkapareho ang prinsipyo: itugma ang papasok na interface o ang source prefix, pagkatapos ay i-override ang ruta para lamang sa tugmang iyon. Ang tuntuning itinutugma ayon sa destinasyon ay hindi makakilala ng bisita mula sa gamit sa bahay.

Hakbang 3: ang daan ng pagbabalik at ang pagsasalin

Ang packet na lumalabas sa tunnel ay dapat bumalik. Maaaring alam ng kapareha sa tunnel ang daan pabalik sa prefix ng bisita, o isinasalin ng router ang pinagmulan ng bisita sa address ng tunnel. Pumili ng isa at isulat ito, dahil magkaiba ang hitsura ng mga mode ng pagpalya: ang kulang na daan ng pagbabalik ay nagbibigay ng koneksyon na nabubuo at hindi kailanman sumasagot, habang ang kulang na pagsasalin ay kadalasang walang naibibigay.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Kung pipiliin mo ang pagsasalin, tandaan na isang address na lamang ang nakikita ng kapareha para sa bawat bisita, kaya nawawala ang anumang patakaran kada kliyente sa malayong dulo. Kung pananatilihin mo ang mga address, kailangan ng magkabilang dulo ang prefix ng bisita sa kanilang pagruruta at patakaran, na mas maraming trabaho at mas mahuhulaan.

Kailangan ng IPv6 ang sarili nitong tuntunin. Ang patakarang isinulat para sa IPv4 ay hindi sumasaklaw sa kabilang pamilya, at ang guest device na may gumaganang IPv6 ay gugustuhing gamitin ito habang nakatengga ang maingat mong nirrutang daan ng IPv4. Iruta ang parehong pamilya o huwag paganahin ang IPv6 sa segment ng bisita, ngunit huwag ipagpalagay na ang pinagsamang tuntuning isinulat mo ay sumasaklaw sa aktuwal na ginagawa ng device. Subukan gamit ang kliyenteng may parehong pamilyang pinagana, dahil iyon ang kaso na dapat lampasan ng disenyo. Ang laptop na mas gusto ang IPv6 ay mukhang tama sa pagsubok na IPv4 lamang at tumutulo sa tunay.

Subukan ang paghihiwalay, hindi lang ang pagba-browse

Pinatutunayan ng pagba-browse na nagbago ang labasan. Hindi nito pinatutunayan na nakahiwalay ang segment, at ang paghihiwalay ang dahilan kung bakit may guest network. Mula sa guest device, subukang abutin ang interface ng pamamahala ng router, isang host sa pinagkakatiwalaang LAN at isang serbisyong dapat tanggihan; dapat mabigo ang tatlo, at ang kabiguan ay dapat na desisyon ng patakaran sa halip na timeout na walang makapagpapaliwanag.

Pagkatapos ay subukan ang pangunahing LAN device at kumpirmahin na hindi nagbago ang labasan nito. Iyon ang regression na madalas dulot ng disenyong ito: malawak na tuntuning para sa mga bisita, inilapat sa bawat interface dahil ang tugma ay isinulat sa destinasyon.

Sa huli, magpasya kung ano ang mangyayari kapag patay ang tunnel. Ang mga bisita ay walang internet o bumabalik sa daang inaprubahan mo, at ang hindi pagpapasya dito ay nangangahulugan ng tahimik na pagbabalik sa normal na koneksyon, na siya mismong pagtagas na dapat pinipigilan ng patakaran ng bisita. Ang resipe ng pagruruta ng trapik sa internet ay dumadaan sa parehong pagpili ng landas para sa router na nakabatay sa pfSense.

Ang DNS na nagmumula sa router ang kaso na huling nagugulat sa mga tao. Kung ginagamit ng mga bisita ang router bilang kanilang resolver, sinusunod ng sariling query ng router ang ruta ng router sa halip na ang tuntunin ng bisita, kaya maaaring lumabas ang paghahanap sa normal na koneksyon habang ang trapik ng aplikasyon ay hindi. Itago ang segment, resolver at patakaran sa pagpalya sa isang tala, at masusuri ng susunod na tao ang tatlo nang hindi muling hinango ang disenyo.