Домашній сегмент лише через VPN: вимкніть резервний шлях, а не лише SSID

Ви додаєте гостьовий SSID у VPN і називаєте сегмент лише VPN. Потім тунель падає на дві хвилини, і пристрої тихо повертаються до звичайного WAN. Ніщо в назві SSID цьому не завадило. Сегмент лише VPN визначається тим, що відбувається, коли тунель недоступний, а не етикеткою мережі.

Етикетка — це обіцянка; політика резервного шляху — це виконання.

Міф: SSID — це межа

SSID без власної політики пересилання — лише назва. Межа — це окремий інтерфейс, VLAN або підмережа з власною зоною DHCP і власними правилами. VLAN дає межу пересилання, яку назва Wi-Fi дати не може.

Ізоляція клієнтів також є частиною проєкту. Двом пристроям у сегменті може знадобитися спілкуватися одне з одним, а може й ні, і цей вибір має бути явним, а не успадкованим із гостьового профілю.

Запишіть інтерфейс і діапазон адрес сегмента, перш ніж написати бодай одне правило. Цей один рядок запобігає більшості подальшої плутанини.

Міф: маршрут тунелю охоплює кожен протокол

Застосуйте політику прошивки до цього сегмента, щоб його трафік в інтернет ішов через тунель. Налаштуйте віддалене пересилання й трансляцію, яких потребує тунель. Залиште лише доступ до локальних ресурсів, які сегменту справді потрібні.

Перевірте обидві родини адрес. Якщо IPv6 не передається через тунель, політика має це обробити, інакше пристрій із підтримкою IPv6 знайде прямий маршрут, якого ви не планували.

Аварійний перемикач лише для IPv4 із увімкненим IPv6 — поширений спосіб витоку. Перевіряйте клієнтом із підтримкою IPv6, а не лише ноутбуком, що під рукою.

Міф: DNS і кінцева точка тунелю йдуть за тунелем

DNS роутера може створюватися локально й дотримуватися власної таблиці маршрутизації роутера, а не політики сегмента. Вирішіть, який шлях має використовувати цей резолвер і що він робить, коли тунель відмовляє. Власне з'єднання VPN із кінцевою точкою — ще один виняток: йому потрібен задокументований зовнішній маршрут до піра. Спрямуйте це з'єднання в тунель, і воно не підніметься.

Тримайте адміністрування відновлення окремо від інтернет-доступу сегмента. Якщо невдалий пір ще й заблокує вам доступ до роутера, ви перетворили збій тунелю на виїзд на місце. Тримайте цей доступ у мережі керування, а не в сегменті лише VPN.

Що насправді робить його лише VPN

Блокуйте звичайне пересилання в WAN для сегмента щоразу, коли тунель лежить. Саме це правило, а не SSID, робить етикетку правдивою. Перевірте його безпечним трафіком із пристрою в сегменті.

Виконайте три перевірки: нормальну роботу через тунель, дозволений тест збою з тунелем унизу та відновлення, коли він повернеться. Підтвердьте, що інший домашній сегмент увесь час зберігає свій передбачений маршрут. Задокументуйте будь-які прямі винятки, інакше етикетка приховає шляхи, яких ви вже не пам'ятаєте.

Короткий запис про сегмент, вибраний тунель і винятки дає конкретні перевірки після того, як оновлення прошивки змінить порядок правил або поведінку резолвера. Рецепт клієнта WireGuard для pfSense — корисна довідка для боку тунелю, а не заміна політики сегмента.