Yalnızca VPN ev segmenti: yalnızca SSID'yi değil, yedek yolu da kapatın

Misafir SSID'yi VPN'e koyup segmenti yalnızca-VPN olarak adlandırıyorsunuz. Sonra tünel iki dakikalığına düşüyor ve cihazlar sessizce normal WAN'a dönüyor. SSID adındaki hiçbir şey bunu engellemedi. Yalnızca-VPN segmenti tünel kullanılamadığında ne olduğuyla tanımlanır, ağın etiketiyle değil.

Etiket bir sözdür; yedek yol politikası ise uygulamadır.

Mit: SSID sınırdır

Kendi yönlendirme politikası olmayan bir SSID yalnızca bir addır. Sınır, kendi DHCP kapsamına ve kendi kurallarına sahip ayrı bir arayüz, VLAN veya alt ağdır. VLAN size bir Wi-Fi adının veremeyeceği bir yönlendirme sınırı verir.

İstemci yalıtımı da tasarımın parçasıdır. Segmentteki iki cihazın birbirleriyle konuşması gerekebilir ya da gerekmeyebilir ve bu seçim bir misafir profilinden miras alınmak yerine açık olmalıdır.

Tek bir kural yazmadan önce segmentin arayüzünü ve adres aralığını yazın. O tek satır sonraki karışıklığın çoğunu önler.

Mit: tünel yolu her protokolü kapsar

Ürün yazılımının politikasını o segmente uygulayın ki internet yönündeki trafiği tüneli kullansın. Tünelin gerektirdiği uzaktan yönlendirme ve çeviriyi yapılandırın. Yalnızca segmentin gerçekten ihtiyaç duyduğu yerel kaynak erişimini koruyun.

Her iki adres ailesini de kontrol edin. IPv6 tünel üzerinden taşınmıyorsa politika onu ele almalıdır, aksi halde IPv6 destekli bir cihaz amaçlamadığınız doğrudan bir yol bulur.

IPv6 açıkken yalnızca IPv4 için bir öldürme anahtarı sızıntının yaygın bir yoludur. IPv6 destekli bir istemciyle test edin, yalnızca elinizdeki dizüstü bilgisayarla değil.

Mit: DNS ve tünel uç noktası tüneli izler

Yönlendirici DNS'i yerel olarak oluşturulabilir ve segmentin politikasını değil, yönlendiricinin kendi yönlendirme tablosunu izleyebilir. Bu çözümleyicinin hangi yolu kullanması gerektiğine ve tünel başarısız olduğunda ne yapacağına karar verin. VPN'in kendi uç nokta bağlantısı başka bir istisnadır: eşe giden belgelenmiş dış yola ihtiyaç duyar. O bağlantıyı tünele yönlendirin, bir daha yukarı çıkamaz.

Kurtarma yönetimini segmentin internet erişiminden ayrı tutun. Başarısız bir eş sizi yönlendiriciden de kilitlerse, bir tünel kesintisini yerinde ziyarete dönüştürmüş olursunuz. Bu erişimi yönetim ağında tutun, yalnızca-VPN segmentinde değil.

Onu gerçekten yalnızca-VPN yapan şey

Tünel aşağıdayken segment için normal WAN yönlendirmesini engelleyin. Etiketi doğru yapan SSID değil, o kuraldır. Segmentteki bir cihazdan zararsız trafikle test edin.

Üç kontrol yapın: tünel üzerinden normal çalışma, tünel aşağıdayken izin verilen hata testi ve geri döndüğünde kurtarma. Başka bir ev segmentinin baştan sona kendi amaçlanan yolunu koruduğunu doğrulayın. Doğrudan istisnaları belgeleyin, aksi halde etiket artık hatırlamadığınız yolları gizler.

Segment, seçilen tünel ve istisnalar hakkında kısa bir kayıt, bir ürün yazılımı güncellemesi kural sırasını veya çözümleyici davranışını değiştirdikten sonra size belirli kontroller verir. pfSense için WireGuard istemci tarifi tünel tarafı için yararlı bir referanstır, segment politikasının yerini tutmaz.