Wi-Fi istemci izolasyonu ile VPN yerel erişimi: sizi ne engelliyor

Aynı konuk SSID'sine iki telefon koyun; hiçbiri diğerini görmez ama ikisi de internete ulaşır. Birine bir VPN istemcisi ekleyin, üç metre uzaktaki yazıcı görünmez kalırken başka bir kıtadaki sunucu ping'lere yanıt verir. Tünelde hiçbir şey bozuk değil; iki ayrı erişim kararı devrede ve bunlardan yalnızca biri yönlendirmeyle ilgili. Erişim noktası kablosuz istemcilerin birbiriyle konuşup konuşamayacağına karar verir; VPN istemcisi ise hangi hedeflerin tünelden çıktığına karar verir. Bu ikisini karıştırmak saatlerce anlamsız yapılandırma değişikliği üretir.

İki kapı birbirinden bağımsız

İstemci izolasyonu bir anahtarlama kararıdır. Erişim noktası ilişkilendirilmiş bir istasyondan çerçeve alır, hedefe bakar, hedefin aynı köprü üzerindeki başka bir istasyon olduğunu fark eder ve çerçeveyi düşürür. İstasyonun IP adresi bu karar için önemsizdir, VPN de öyle.

Yönlendirme istemcide alınan başka bir karardır. VPN'in yönlendirme tablosu 192.168.1.50 için bir paketin tünele girip mi gireceğine yoksa Wi-Fi arayüzünden mi çıkacağına karar verir. Paket Wi-Fi'den çıkarsa ve erişim noktası istemcileri izole ediyorsa paket erişim noktasında ölür. Paket tünele girerse erişim noktası özgün hedefi hiç görmez ve hiçbir şeyi izole edemez.

İzolasyonun tipik bir erişim noktasında engellediği şeyler

Üreticiler bunu birkaç ad altında sunar: istemci izolasyonu, AP izolasyonu, istasyon izolasyonu veya bunu ima eden bir konuk ağı. OpenWrt'de arayüz başına seçenek kablosuz yapılandırmanın içindeki isolate seçeneğidir, kablosuz belgelerinde açıklandığı gibi, ve konuk SSID genellikle kendi köprüsünü ve güvenlik duvarı bölgesini alır. Sonuç, istemciler arasındaki unicast çerçevelerin köprülenmemesidir; bu yüzden komşuya ping, SMB bağlantısı veya yazdırma işi, iki cihaz da tam sinyal gösterse bile başarısız olur.

Keşif protokolleri önce ve en görünür şekilde zarar görür. Yazıcılar ve medya cihazları için mDNS multicast ile 224.0.0.251'e gider, SSDP 239.255.255.250 kullanır ve bu çerçevelerin köprüyü geçip geçmemesi üreticiye ve multicast-unicast dönüşümünün açık olup olmamasına bağlıdır. Bir listede eksik cihaz, bilinen bir adrese başarısız doğrudan bağlantıdan daha zayıf kanıttır.

VPN neyi değiştirir, neyi değiştiremez

Tam tünel varsayılan rotayı alır, bu yüzden yerel alt ağlara yalnızca istemci onlar için daha belirgin bir rota tutarsa ulaşılır. Bölünmüş tüneller tersini yapar ve yerel erişimi tasarım gereği korur. Bu ayarların hiçbiri izole eden bir erişim noktasını iki istemcisi arasında çerçeve iletmeye zorlayamaz, bu yüzden VPN istemcisinde yerel trafiğe izin vermek gerekli ama yeterli değildir.

Ters durum da aynı sıklıkta. Erişim noktası eşler arası trafiğe izin verir, VPN istemcisi yerel alt ağı tünelin dışında bırakır ve yazıcı yine yanıt vermez çünkü ana makinenin güvenlik duvarı Wi-Fi ağını genel olarak değerlendirir. Üç katman, üç farklı varsayılan ve çoğu VPN günlüğünde yalnızca rota görünür.

Hangi kapının kapalı olduğunu belirleyin

VPN'i denklemden çıkaran bir testle başlayın: iki sıradan cihazı aynı SSID'ye bağlayın ve birinden diğerine adresle ulaşmayı deneyin. Bu başarısız olursa erişim noktası izole ediyor ve hiçbir VPN ayarı bunu düzeltmez. Başarılı olursa istemciye geçin ve Linux'ta ip route get 192.168.1.50 ya da Windows'ta Find-NetRoute -RemoteIPAddress 192.168.1.50 çalıştırın; çıktı paketin kullanacağı arayüzü adlandırır.

Rota Wi-Fi arayüzünü gösterdiğinde paket şifresiz çıkar ve soru erişim noktası ile ana makinenin güvenlik duvarının buna izin verip vermediğine dönüşür. Rota tüneli gösterdiğinde hedef VPN sunucusuna gönderiliyordur; bu aynı LAN üzerindeki bir cihaz için yanlıştır ve genellikle tünelin izin listesinin çok geniş olduğu anlamına gelir.

Yazıcının bağlantı noktasına doğrudan bağlantı, keşif listesinden daha iyi bir testtir. Linux'ta nc -vz 192.168.1.50 9100 veya PowerShell'de Test-NetConnection 192.168.1.50 -Port 9100 adrese hiç ulaşılıp ulaşılamadığını söyler, herhangi bir uygulama düzeyi eşleştirme tartışmaya girmeden önce.

Bulunduğunuz ağ için doğru düzeltmeyi seçin

Otel veya konuk ağında izolasyon bilinçlidir ve onu aşmaya çalışmamalısınız. Yerel cihazı ulaşılamaz sayın, yazdırabilen veya paylaşabilen bir ana makineye ulaşmak için VPN'i kullanın ve SSID'yi LAN olarak görmeyi bırakın.

Evde, cihazlar sizinse ana SSID'de izolasyonu kapatmak makuldür; konuk SSID izole kalır. Ayar erişim noktasının kablosuz yapılandırmasında yaşar ve oraya aittir, her istemcideki güvenlik duvarı istisnalarına değil.

Ofiste erişim noktasının, VLAN'ın ve ana makinenin güvenlik duvarının bilinçli olduğunu varsayın. İzolasyonun kapatılmasını istemek yerine test sonuçlarıyla üst kademeye iletin, çünkü istemcileri ayıran bir ağ genellikle bir şeyi korur.

Uygulamayı doğrulayın, yalnızca ping'i değil

Başarılı bir ping yolu kanıtlar, hizmeti değil. Yazıcılar sıklıkla ham 9100 veya 631'de IPP kabul eder ama keşfi reddeder ve dosya paylaşımı 445 ile çalışan ad çözümlemesi gerektirir. Uygulamanın kullandığı bağlantı noktasını doğrulayın, sonra cihazdaki gerçek görevi yeniden deneyin.

Notlarınızda iki katmanı ayrı tutun: Wi-Fi ağının neye izin verdiği ve VPN'in neyi yönlendirdiği. Bir dahaki sefere bir cihaz listeden kaybolduğunda bu ayrım size önce nereye bakacağınızı söyler.