Wi-Fi access point sa likod ng VPN gateway: panatilihin ang isang LAN

Maaaring umupo ang mga wireless client sa likod ng VPN nang walang alam ang access point tungkol sa tunnel. I-bridge ang radyo papunta sa LAN ng gateway, hayaang ang gateway ang may-ari ng addressing at tunnel, at ang bawat device sa Wi-Fi ay magmamana ng parehong patakaran. Ang alternatibo, ikalawang niruruta na segment na may sariling gateway, ay ibang disenyo na may ibang paraan ng pagpalya.

Nalilito ang dalawa dahil kapwa naglalagay ng kahon sa pagitan ng internet at ng iyong mga device. Ang paghahambing kung ano ang pag-aari ng bawat isa ang pinakamabilis na paraan upang pumili.

Dalawang paraan upang ilagay ang VPN sa harap ng Wi-Fi

Sa nakabridge na layout, nagdadala ang access point ng mga frame sa pagitan ng radyo at ng wired na segment at wala nang iba: isang subnet, isang awtoridad ng address, isang router na nagpapatupad ng patakaran. Sa niruruta na layout, may sariling mga address ang ikalawang kahon, sariling saklaw ng DHCP at sariling default na ruta, kaya tumatawid ang trapiko sa isa pang hangganan bago umabot sa tunnel. Ginagawa ng nakabridge na disenyo na mukhang lokal ang bawat wireless device para sa gateway, kaya isang hanay ng mga patakaran ang sumasaklaw sa lahat. Ang niruruta na disenyo ay nagbibigay sa iyo ng segment na pag-iisipan at ikalawang lugar kung saan maaaring magkamali ang patakaran.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Piliin ang nakabridge kapag ang pangangailangan ay gamitin ng mga wireless device ang parehong tunnel gaya ng mga wired. Piliin ang niruruta kapag gusto mo ng segment na maihihiwalay, o kapag umiiral na ang ikalawang kahon bilang router.

Ano ang talagang binabago ng nakabridge na layout

Inaalis ng pag-bridge ang isang antas ng pagsasalin at isang nakikipagkumpitensyang default na gateway, at nagdaragdag ng problema sa pamamahala. Kailangan pa rin ng access point ng address na maabot mo, na kadalasang inaayos ng daloy ng trabaho ng vendor sa pamamagitan ng pangunahing LAN. Dapat patay ang serbisyo nitong DHCP, kung hindi ay magbibigay ang dalawang awtoridad ng magkasalungat na lease. Pinapanatili ng gateway ang tunnel, ang mga setting ng resolver at ang desisyon kung ano ang mangyayari kapag bumagsak ang tunnel, kaya nakatira ang patakaran sa eksaktong isang lugar.

Walang minamana ang radyo mula sa tunnel nang awtomatiko. Tumitigil lamang ito sa pagdaragdag ng mga antas na magtatakip dito.

Saan bagay ang ikalawang niruruta na segment

Karapat-dapat ang niruruta na segment sa pagiging kumplikado nito kapag ang mga device sa likod nito ay nangangailangan ng ibang trato kaysa sa natitirang LAN. Ang network ng bisita, isang lab, o isang pangkat ng mga client na dapat laging lumabas sa isang partikular na bansa ay lahat dahilan upang maglagay ng router sa landas. Ang halaga ay ikalawang awtoridad ng address, ikalawang firewall na dapat panatilihing pare-pareho, at pabalik na ruta mula sa pangunahing LAN kung may tao doon na kailangang maabot ang segment. Mga obligasyon ang mga ito, hindi mga detalye ng configuration.

Ang karaniwang pagkakamali ay ang aksidenteng itayo ang niruruta na bersyon, gamit muli ang isang router na nagpapatakbo pa ng sarili nitong DHCP at pagsasalin. Gumagawa iyon ng dobleng pagsasalin at patakarang walang makakasunod.

Subukan mula sa isang Wi-Fi client, hindi mula sa gateway

Pinatutunayan ng matagumpay na kahilingan sa gateway na gumagana ang tunnel para sa gateway. Ang tunay na tanong ay kung ginagamit ito ng ipinasa ng wireless client na trapiko, at iyon ay dapat maobserbahan mula sa client. Sinusuri ng mga utos sa ibaba ang address ng client, ang ruta nito at ang address na nakikita ng isang remote na serbisyo.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Kinukumpirma ng address sa loob ng LAN ng gateway na ipinapasa ng tulay ang mga frame sa halip na isalin ang mga ito. Kinukumpirma ng rutang ang unang hop ay ang gateway na hindi nakakuha ang client ng ikalawang default na ruta mula sa ibang lugar. Sinasagot ng pagsusuri ng exit address ang tunay na tanong, at ipinapakita ng maikling trace kung ang mga unang hop ay ang inaasahan. Kung ang address ng client ay galing sa ibang saklaw, ang unang pinaghihinalaan ay isang ligaw na DHCP server.

Isulat ang papel ng bawat kahon, ang address nito at ang awtoridad ng DHCP. Sapat ang diagram na may tatlong linya, at inaayos nito ang karamihan ng pagtatalo tungkol sa kung saan nararapat ang isang patakaran.