Mehmon Wi-Fi asosiy marshrutdan foydalanishda davom etmoqda: unga o‘z chiqish yo‘lini bering

Siz mehmon tarmog‘ini yaratdingiz, unga marshrut qo‘shdingiz, lekin mehmonlar hanuz odatdagi internet ulanishigiz orqali chiqib ketmoqda. Tunnel ishlayapti, asosiy LAN ishlayapti va mehmon qurilmalari siz ajratgan diapazondagi manzilni xabar qilmoqda, shuning uchun hech narsa buzilgandek ko‘rinmaydi. Odatda yetishmayotgan narsa marshrut emas, balki tanlovchi: router paket qaysi interfeysdan kelganini hisobga olishdan oldin yo‘lni belgilaydi va biror narsa mehmon trafigiga aniq mos kelmasa, bu trafik standart qiymatni meros qiladi. Yechim — segment, siyosat qoidasi va javob yo‘li, shu tartibda.

Belgi: mehmonlar hanuz WAN orqali chiqadi

Ishora chiqish manzili. Tunnel orqali internetga yetib boradigan mehmon qurilmasi tunnel provayderining manzilini xabar qiladi, standart qiymatni meros qilgan qurilma esa odatdagi ulanishigizni xabar qiladi. Mehmon qurilmasi va asosiy LAN qurilmasini yonma-yon solishtiring, chunki qiziq holat ular siz sozlagandan farq qilib, bir-biriga mos kelganda.

Ikkinchi belgi — mehmonlar brauzerda kezayotganda tunnel interfeysida hech qanday trafik yo‘qligi. Hisoblagichlar qimirlamasa, siyosat hech qachon qo‘llanmagan va tunnelning o‘zini sozlash yordam bermaydi.

1-qadam: faqat nom emas, haqiqiy segment

SSID nomi izolyatsiya yaratmaydi. Mehmon tarmog‘i o‘z interfeysi, VLAN yoki ko‘prigida tugashini va manzil diapazoni ishonchli LANdan farq qilishini tekshiring. Ko‘plab iste’molchi kirish nuqtalarida mehmon SSID boshqa hamma narsa bilan bir segmentga ko‘priklanadi, bu esa tuzatilmaguncha qolgan ishni imkonsiz qiladi.

So‘ngra mehmon diapazoni va uning DHCP serverini tasdiqlang, hal qiluvchi sozlamalarini butun routerga emas, shu segmentga bog‘lab saqlang. Faqat xavfsizlik devori qoidasidagi izoh sifatida mavjud mehmon subneti segment emas va routerda moslashtirish uchun hech qanday interfeys bo‘lmaydi.

VPN sozlashni osonlashtirish uchun mehmonlarni asosiy LANga ko‘priklamang. Bu siz xohlagan izolyatsiyani marshrutlashning qisqa yo‘liga almashtiradi va mehmon tarmog‘i printer va NASga kirish huquqini olishining odatiy sababi shu.

2-qadam: tunnerni manba bo‘yicha tanlang

Marshrutlash jadvallari manzil bo‘yicha tanlanadi, shuning uchun «0.0.0.0/0 ni tunnelga yubor» qoidasi hammaga tegishli. Siyosat marshrutlash ikkinchi o‘lchamni qo‘shadi: jadvalni manba manzili bo‘yicha tanlang. Linux asosidagi routerda bu qo‘shimcha qoida va alohida jadval, tartib esa muhim, chunki birinchi mos kelgan qoida yutadi:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

Oxirgi buyruq savolga to‘g‘ridan-to‘g‘ri javob beradi: bu manba bu manzil uchun qaysi interfeysdan foydalanadi. Uni o‘zgarishdan oldin va keyin ishga tushiring, brauzerga tegmasdan siyosat kuchga kirganini bilib olasiz.

Aksariyat router proshivkalari xuddi shu narsani interfeys qoidasi yoki manbaga asoslangan shlyuz tanlovi sifatida ifodalaydi. Platformangiz qanday sintaksis ishlatmasin, tamoyil bir xil: kiruvchi interfeys yoki manba prefiksiga moslashing, so‘ngra marshrutni faqat shu moslik uchun bekor qiling. Manzil bo‘yicha moslashgan qoida mehmonni uy qurilmasidan ajrata olmaydi.

3-qadam: javob yo‘li va tarjima

Tunneldan chiqqan paket qaytishi kerak. Yoki tunnel hamkori mehmon prefiksiga qaytish yo‘lini biladi, yoki router mehmon manbasini tunnel manziliga tarjima qiladi. Birini tanlang va yozib qo‘ying, chunki nosozlik usullari turlicha ko‘rinadi: qaytish yo‘li bo‘lmasa, ulanish o‘rnatiladi va hech qachon javob bermaydi, tarjima bo‘lmasa esa ko‘pincha hech narsa chiqmaydi.

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

Agar tarjimani tanlasangiz, hamkor endi har bir mehmon uchun bitta manzil ko‘rishini yodda tuting, shuning uchun uzoq uchdagi har bir mijoz uchun siyosat yo‘qoladi. Agar manzillarni saqlasangiz, ikkala uch ham o‘z marshrutlashi va siyosatida mehmon prefiksiga muhtoj bo‘ladi, bu ko‘proq ish va osonroq bashorat qilinadi.

IPv6 o‘z qoidasini talab qiladi. IPv4 uchun yozilgan siyosat boshqa oilani qamrab olmaydi va ishlayotgan IPv6ga ega mehmon qurilmasi undan mamnuniyat bilan foydalanadi, sizning sinchkovlik bilan marshrutlangan IPv4 yo‘lingiz esa bo‘sh turadi. Ikkala oilani ham marshrutlang yoki mehmon segmentida IPv6ni o‘chiring, lekin yozgan qo‘shma qoidangiz qurilma aslida qiladigan ishni qamrab oladi deb o‘ylamang. Ikkala oila ham yoqilgan mijoz bilan sinab ko‘ring, chunki dizayn bardosh berishi kerak bo‘lgan holat shu. IPv6ni afzal ko‘radigan noutbuk faqat IPv4 sinovida to‘g‘ri ko‘rinadi va haqiqiy sinovda oqib ketadi.

Izolyatsiyani sinang, faqat brauzerda kezishni emas

Brauzerda kezish chiqish o‘zgarganini isbotlaydi. Bu segment izolyatsiya qilinganini isbotlamaydi va izolyatsiya mehmon tarmog‘i mavjudligining sababidir. Mehmon qurilmasidan routerning boshqaruv interfeysiga, ishonchli LAN xostiga va rad etilishi kerak bo‘lgan xizmatga yetishga harakat qiling; uchtasi ham muvaffaqiyatsiz bo‘lishi kerak va muvaffaqiyatsizlik hech kim tushuntira olmaydigan vaqt chegarasi emas, siyosat qarori bo‘lishi kerak.

So‘ngra asosiy LAN qurilmasini sinang va uning chiqishi o‘zgarmaganini tasdiqlang. Bu dizayn eng ko‘p keltiradigan regressiya: mehmonlar uchun mo‘ljallangan keng qoida har bir interfeysga qo‘llanilgan, chunki moslik manzil bo‘yicha yozilgan.

Nihoyat, tunnel o‘chganda nima bo‘lishini hal qiling. Mehmonlar yo internetsiz qoladi, yo siz ma’qullagan yo‘lga qaytadi va buni hal qilmasdan qoldirish odatdagi ulanishga jim qaytishni anglatadi, bu esa mehmon siyosati oldini olishi kerak bo‘lgan oqishning o‘zi. Internet trafigini marshrutlash retsepti pfSense asosidagi router uchun xuddi shu yo‘l tanlovidan o‘tadi.

Routerdan kelib chiqadigan DNS odamlarni oxirida hayratga soladigan holat. Agar mehmonlar routerni o‘z hal qiluvchisi sifatida ishlatsa, routerning o‘z so‘rovlari mehmon qoidasi emas, router marshruti bo‘yicha boradi, shuning uchun qidiruvlar odatdagi ulanish orqali chiqishi mumkin, ilova trafigi esa chiqmaydi. Segment, hal qiluvchi va nosozlik siyosatini bitta eslatmada saqlang, keyingi odam dizaynni qaytadan chiqarmasdan uchtasini tekshira oladi.