Misafir Wi-Fi ana rotayı kullanmaya devam ediyor: ona kendi çıkışını verin

Bir misafir ağı oluşturdunuz, buna bir rota eklediniz ve misafirler hâlâ normal internet bağlantınızdan çıkıyor. Tünel ayakta, ana LAN çalışıyor ve misafir cihazları atadığınız aralıkta bir adres bildiriyor, bu yüzden hiçbir şey bozuk görünmüyor. Genellikle eksik olan rota değil seçicidir: yönlendirici, paketin hangi arayüzden geldiğini dikkate almadan önce yolu belirler ve bir şey misafir trafiğiyle açıkça eşleşmiyorsa bu trafik varsayılanı devralır. Çözüm bir segment, bir politika kuralı ve bir dönüş yolu, bu sırayla.

Belirti: misafirler hâlâ WAN üzerinden çıkıyor

İpucu çıkış adresidir. Tünel üzerinden internete ulaşan bir misafir cihazı tünel sağlayıcısının adresini bildirir, varsayılanı devralan cihaz ise normal bağlantınızı bildirir. Bir misafir cihazı ile ana LAN cihazını yan yana karşılaştırın, çünkü ilginç durum, yapılandırdığınızdan farklı olup birbirleriyle eşleştikleri zamandır.

İkinci ipucu, misafirler gezinirken tünel arayüzünde hiçbir trafik olmamasıdır. Sayaçlar hareket etmiyorsa politika hiç uygulanmamıştır ve tünelin kendisini ayarlamak yardımcı olamaz.

Adım 1: sadece bir ad değil, gerçek bir segment

SSID adı yalıtım oluşturmaz. Misafir ağının kendi arayüzünde, VLAN'ında veya köprüsünde sonlandığını ve adres aralığının güvenilir LAN'dan farklı olduğunu doğrulayın. Birçok tüketici erişim noktasında misafir SSID'si diğer her şeyle aynı segmente köprülenir, bu da düzeltilene kadar işin geri kalanını imkânsız kılar.

Ardından misafir aralığını ve DHCP sunucusunu doğrulayın, çözümleyici ayarlarını tüm yönlendiriciye değil o segmente bağlı tutun. Bir güvenlik duvarı kuralında yalnızca yorum olarak var olan bir misafir alt ağı segment değildir ve yönlendiricinin eşleştireceği hiçbir arayüzü olmaz.

VPN'yi yapılandırmayı kolaylaştırmak için misafirleri ana LAN'a köprülemeyin. Bu, istediğiniz yalıtımı bir yönlendirme kısayoluyla değiştirir ve misafir ağının sonunda yazıcıya ve NAS'a erişmesinin olağan nedeni budur.

Adım 2: tüneli kaynağa göre seçin

Yönlendirme tabloları hedefe göre seçilir, bu yüzden «0.0.0.0/0'ı tünele gönder» kuralı herkes için geçerlidir. Politika yönlendirmesi ikinci bir boyut ekler: tabloyu kaynak adresine göre seçin. Linux tabanlı bir yönlendiricide bu, ek bir kural artı özel bir tablodur ve sıra önemlidir çünkü ilk eşleşen kural kazanır:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Son komut soruyu doğrudan yanıtlar: bu kaynağın bu hedef için hangi arayüzü kullanacağını. Değişiklikten önce ve sonra çalıştırın, tarayıcıya dokunmadan politikanın yürürlüğe girip girmediğini bilirsiniz.

Çoğu yönlendirici ürün yazılımı aynı şeyi bir arayüz kuralı veya kaynak tabanlı ağ geçidi seçimi olarak ifade eder. Platformunuz hangi sözdizimini kullanırsa kullansın ilke aynıdır: gelen arayüzle veya kaynak önekiyle eşleştirin, sonra rotayı yalnızca o eşleşme için geçersiz kılın. Hedefe göre eşleşen bir kural misafiri ev cihazından ayıramaz.

Adım 3: dönüş yolu ve çeviri

Tünelden çıkan paket geri dönmelidir. Ya tünel ortağı misafir önekine geri dönüş yolunu bilir ya da yönlendirici misafir kaynağını tünel adresine çevirir. Birini seçin ve yazın, çünkü arıza biçimleri farklı görünür: eksik dönüş yolu, kurulan ama asla yanıt vermeyen bir bağlantı verir; eksik çeviri ise çoğu zaman hiçbir şey üretmez.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Çeviriyi seçerseniz, ortağın artık her misafir için tek bir adres gördüğünü unutmayın, bu yüzden uzak uçtaki istemci başına politika ortadan kalkar. Adresleri korursanız, her iki uç da yönlendirmesinde ve politikasında misafir önekine ihtiyaç duyar; bu daha fazla iş ve daha öngörülebilirdir.

IPv6'nın kendi kuralına ihtiyacı vardır. IPv4 için yazılmış bir politika diğer aileyi kapsamaz ve çalışan IPv6'sı olan bir misafir cihazı, dikkatle yönlendirilmiş IPv4 yolunuz boşta dururken onu memnuniyetle kullanır. İki aileyi de yönlendirin veya misafir segmentinde IPv6'yı devre dışı bırakın, ancak yazdığınız birleşik kuralın cihazın gerçekte yaptığını kapsadığını varsaymayın. İki ailenin de etkin olduğu bir istemciyle test edin, çünkü tasarımın dayanması gereken durum budur. IPv6'yı tercih eden bir dizüstü bilgisayar yalnızca IPv4 testinde doğru görünür ve gerçek testte sızdırır.

Yalıtımı test edin, yalnızca gezinmeyi değil

Gezinme çıkışın değiştiğini kanıtlar. Segmentin yalıtıldığını kanıtlamaz ve yalıtım misafir ağının var olma sebebidir. Misafir cihazından yönlendiricinin yönetim arayüzüne, güvenilir LAN'daki bir konağa ve reddedilmesi gereken bir hizmete ulaşmayı deneyin; üçü de başarısız olmalı ve başarısızlık kimsenin açıklayamadığı bir zaman aşımı değil, politika kararı olmalıdır.

Ardından ana LAN cihazını test edin ve çıkışının değişmediğini doğrulayın. Bu tasarımın en sık yol açtığı gerileme budur: misafirler için düşünülmüş geniş bir kural, eşleşme hedefe yazıldığı için her arayüze uygulanır.

Son olarak tünel kapalıyken ne olacağına karar verin. Misafirler ya internet alamaz ya da onayladığınız bir yola düşer ve bunu kararsız bırakmak normal bağlantıya sessiz bir geri dönüş anlamına gelir; bu da misafir politikasının önlemeyi amaçladığı sızıntının ta kendisidir. İnternet trafiği yönlendirme tarifi pfSense tabanlı bir yönlendirici için aynı yol seçimini adım adım anlatır.

Yönlendiriciden kaynaklanan DNS, insanları en son şaşırtan durumdur. Misafirler yönlendiriciyi çözümleyici olarak kullanırsa, yönlendiricinin kendi sorguları misafir kuralı yerine yönlendiricinin rotasını izler, bu yüzden aramalar normal bağlantıdan çıkabilirken uygulama trafiği çıkmaz. Segmenti, çözümleyiciyi ve arıza politikasını tek bir notta tutun, sonraki kişi tasarımı yeniden türetmeden üçünü de kontrol edebilir.