Точка доступу Wi-Fi за VPN-шлюзом: збережіть одну локальну мережу

Мостова точка доступу чи другий маршрутизований сегмент? Різниця в тому, кому належать адресація, DNS і тунель, і це вирішує, де живе політика.

Бездротові клієнти можуть перебувати за VPN, а точка доступу при цьому нічого не знає про тунель. З'єднайте радіо мостом із локальною мережею шлюзу, залиште адресацію й тунель шлюзу, і кожен пристрій у Wi-Fi успадкує ту саму політику. Альтернатива — другий маршрутизований сегмент із власним шлюзом — це інша схема з іншим режимом відмови.

Ці два варіанти плутають, бо обидва ставлять коробку між інтернетом і вашими пристроями. Порівняння того, чим володіє кожен, — найшвидший спосіб вибрати.

Два способи поставити VPN перед Wi-Fi

У мостовій схемі точка доступу передає кадри між радіо та дротовим сегментом і більше нічого: одна підмережа, один орган адрес, один маршрутизатор, що виконує політику. У маршрутизованій схемі друга коробка має власні адреси, власний діапазон DHCP і власний маршрут за замовчуванням, тож трафік перетинає ще одну межу, перш ніж дістатися тунелю. Мостова схема робить кожен бездротовий пристрій локальним для шлюзу, і тому один набір правил охоплює їх усі. Маршрутизована схема дає вам сегмент, про який можна думати, і друге місце, де політика може піти не так.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Виберіть міст, якщо вимога полягає в тому, щоб бездротові пристрої використовували той самий тунель, що й дротові. Виберіть маршрутизацію, якщо потрібен сегмент, який можна ізолювати, або якщо друга коробка вже існує як маршрутизатор.

Що мостова схема справді змінює

Міст прибирає шар трансляції та конкуруючий шлюз за замовчуванням, але додає проблему керування. Точці доступу все ще потрібна адреса, до якої можна дістатися, і процес постачальника зазвичай влаштовує це через основну локальну мережу. Її служба DHCP має бути вимкнена, інакше два органи видаватимуть суперечливі оренди. Шлюз зберігає тунель, налаштування резолвера й рішення про те, що станеться, коли тунель упаде, тому політика живе рівно в одному місці.

Радіо нічого з цього не успадковує від тунелю автоматично. Воно просто перестає додавати шари, які це приховували б.

Де доречний другий маршрутизований сегмент

Маршрутизований сегмент виправдовує свою складність, коли пристрої за ним потребують іншого поводження, ніж решта локальної мережі. Гостьова мережа, лабораторія або набір клієнтів, які завжди мають виходити через певну країну, — усе це причини поставити маршрутизатор на шляху. Ціна — другий орган адрес, другий міжмережевий екран, який треба тримати узгодженим, і зворотний маршрут з основної локальної мережі, якщо комусь там треба дістатися до сегмента. Це зобов'язання, а не подробиці конфігурації.

Часта помилка — побудувати маршрутизований варіант випадково, повторно використавши маршрутизатор, який досі працює зі своїм DHCP і трансляцією. Це дає подвійну трансляцію й політику, яку ніхто не може простежити.

Перевіряйте з Wi-Fi-клієнта, а не зі шлюзу

Успішний запит на шлюзі доводить, що тунель працює для шлюзу. Справжнє питання — чи використовує його пересиланий трафік бездротового клієнта, і це треба спостерігати з клієнта. Команди нижче перевіряють адресу клієнта, його маршрут і адресу, яку бачить віддалена служба.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Адреса всередині локальної мережі шлюзу підтверджує, що міст пропускає кадри, а не транслює їх. Маршрут, перший крок якого — шлюз, підтверджує, що клієнт не отримав другий маршрут за замовчуванням з іншого місця. Перевірка адреси виходу відповідає на справжнє питання, а коротка траса показує, чи перші кроки очікувані. Якщо адреса клієнта надходить з іншого діапазону, перший підозрюваний — заблуканий сервер DHCP.

Запишіть роль кожної коробки, її адресу й орган DHCP. Схеми з трьох ліній достатньо, і вона вирішує більшість суперечок про те, де місце правилу.

Схожі статті