Paghihiwalay ng mga kliyenteng Wi-Fi kumpara sa lokal na access ng VPN: ano ang humaharang sa iyo

Maglagay ng dalawang telepono sa iisang guest SSID at wala sa kanila ang nakikita ang isa, ngunit parehong nakakaabot sa internet. Magdagdag ng kliyenteng VPN sa isa at ang printer na tatlong metro ang layo ay nananatiling hindi nakikita, habang ang server sa ibang kontinente ay sumasagot sa ping. Walang sira sa tunnel; may dalawang hiwalay na desisyon sa access na sangkot, at isa lang sa kanila ang tungkol sa rutang daan. Ang access point ang nagpapasya kung maaaring mag-usap ang mga wireless na kliyente, at ang kliyenteng VPN ang nagpapasya kung aling mga destinasyon ang lumalabas sa tunnel. Ang paghahalo sa dalawang ito ay nagdudulot ng mga oras na walang saysay na pagbabago sa configuration.

Ang dalawang pintuan ay magkahiwalay

Ang paghihiwalay ng kliyente ay desisyon sa switching. Tinatanggap ng access point ang isang frame mula sa isang naka-associate na istasyon, tinitingnan ang destinasyon, napapansin na ang destinasyon ay ibang istasyon sa parehong bridge, at itinatapon ito. Walang kinalaman ang IP address ng istasyon sa desisyong iyon, at wala rin ang VPN.

Ang rutang daan ay ibang desisyon, na ginagawa sa kliyente. Itinatakda ng talahanayan ng ruta ng VPN kung ang packet para sa 192.168.1.50 ay papasok sa tunnel o lalabas sa interface ng Wi-Fi. Kung lalabas ang packet sa Wi-Fi at ihiniwalay ng access point ang mga kliyente, mamamatay ito sa access point. Kung papasok ang packet sa tunnel, hindi kailanman nakikita ng access point ang orihinal na destinasyon at wala itong maihihiwalay.

Ano ang hinaharang ng paghihiwalay sa karaniwang access point

Ibinibigay ito ng mga vendor sa ilang pangalan: paghihiwalay ng kliyente, paghihiwalay ng AP, paghihiwalay ng istasyon, o isang guest network na nagpapahiwatig nito. Sa OpenWrt ang opsyon sa bawat interface ay isolate sa loob ng wireless configuration, gaya ng inilarawan sa dokumentasyon ng wireless, at ang guest SSID ay karaniwang nakakakuha ng sarili nitong bridge at firewall zone. Ang epekto ay hindi naka-bridge ang unicast frames sa pagitan ng mga kliyente, kaya nabibigo ang ping, koneksyong SMB o trabahong pag-print sa kapitbahay kahit puno ang signal ng dalawang device.

Ang mga protocol ng pagtuklas ang unang nagdurusa at pinakamalinaw. Ang mDNS para sa mga printer at media device ay dumadaan sa multicast patungo sa 224.0.0.251, gumagamit ang SSDP ng 239.255.255.250, at kung tatawid ang mga frame na iyon sa bridge ay nakadepende sa vendor at sa kung naka-enable ang conversion mula multicast patungong unicast. Ang device na nawawala sa isang listahan ay mas mahinang ebidensya kaysa sa bigong direktang koneksyon sa isang kilalang address.

Ano ang binabago ng VPN, at ano ang hindi nito mababago

Kinukuha ng buong tunnel ang default na ruta, kaya naaabot lamang ang mga lokal na subnet kung may itinatago ang kliyente na mas tiyak na ruta para sa mga ito. Ang mga split tunnel ay kabaligtaran at pinapanatili ang lokal na access ayon sa disenyo. Wala sa mga setting na ito ang makapipilit sa isang access point na naghihiwalay na magpadala ng frame sa pagitan ng dalawa sa mga kliyente nito, kaya kailangan ngunit hindi sapat ang pagpapahintulot ng lokal na trapiko sa kliyenteng VPN.

Ang kabaligtarang kaso ay kasingkaraniwan. Pinapayagan ng access point ang trapiko sa pagitan ng mga kliyente, hindi isinasama ng kliyenteng VPN ang lokal na subnet sa tunnel, at hindi pa rin sumasagot ang printer dahil itinuturing ng firewall ng host na publiko ang network na Wi-Fi. Tatlong antas, tatlong magkaibang default, at ang ruta lang ang nakikita sa karamihan ng log ng VPN.

Alamin kung aling pintuan ang sarado

Magsimula sa pagsubok na nag-aalis sa VPN sa larawan: ikonekta ang dalawang ordinaryong device sa parehong SSID at subukang maabot ang isa mula sa isa sa pamamagitan ng address. Kung nabigo iyon, naghihiwalay ang access point at walang setting ng VPN ang makakatulong. Kung nagtagumpay, pumunta sa kliyente at patakbuhin ang ip route get 192.168.1.50 sa Linux o Find-NetRoute -RemoteIPAddress 192.168.1.50 sa Windows; tinutukoy ng output ang interface na gagamitin ng packet.

Kapag tumuturo ang ruta sa interface ng Wi-Fi, lumalabas ang packet nang walang encryption at ang tanong ay kung pinapayagan iyon ng access point at ng firewall ng host. Kapag tumuturo ang ruta sa tunnel, ipinapadala ang destinasyon sa server ng VPN, na mali para sa device sa parehong LAN at karaniwang nangangahulugan na masyadong malawak ang pinapayagang listahan ng tunnel.

Ang direktang koneksyon sa port ng printer ay mas mahusay na pagsubok kaysa sa listahan ng pagtuklas. Sinasabi ng nc -vz 192.168.1.50 9100 sa Linux o Test-NetConnection 192.168.1.50 -Port 9100 sa PowerShell kung maaabot man ang address, bago pumasok sa usapan ang anumang pagpapares sa antas ng application.

Piliin ang lunas para sa network kung saan ka naroon

Sa network ng hotel o guest, sinasadya ang paghihiwalay at hindi mo dapat subukang talunin ito. Ituring na hindi maaabot ang lokal na device, gamitin ang VPN upang maabot ang host na makakapag-print o makakapagbahagi, at itigil ang pagtrato sa SSID bilang LAN.

Sa bahay, makatwiran ang pag-off ng paghihiwalay sa pangunahing SSID kapag sa iyo ang mga device, habang nananatiling hiwalay ang guest SSID. Nasa wireless configuration ng access point ang setting, at doon ito nababagay, hindi sa mga exception ng firewall sa bawat kliyente.

Sa opisina, ipagpalagay na ang access point, ang VLAN at ang firewall ng host ay sinasadya. I-escalate kasama ang mga resulta ng pagsubok sa halip na hilingin na patayin ang paghihiwalay, dahil ang network na naghihiwalay sa mga kliyente ay karaniwang may pinoprotektahan.

I-verify ang application, hindi lang ang ping

Ang matagumpay na ping ay nagpapatunay ng daan, hindi ng serbisyo. Kadalasang tinatanggap ng mga printer ang hilaw na 9100 o IPP sa 631 ngunit tinatanggihan ang pagtuklas, at kailangan ng file share ang 445 at gumaganang resolusyon ng pangalan. Kumpirmahin ang port na ginagamit ng application, pagkatapos ay subukan muli ang totoong gawain sa device.

Panatilihing hiwalay ang dalawang antas sa iyong mga tala: ano ang pinapayagan ng network na Wi-Fi at ano ang ini-ruta ng VPN. Sa susunod na mawala ang isang device sa isang listahan, sasabihin sa iyo ng paghahating iyon kung saan unang titingin.