Faqat VPN uy segmenti: faqat SSID emas, zaxira yo'lni ham o'chiring
VPN-dagi mehmon SSID uni faqat-VPN qilmaydi. Tunnel yiqilganda nima bo'lishini hal qiling, IPv6-ni qamrab oling va yorliqqa ishonishdan oldin uzilishni sinab ko'ring.
Mehmon SSID-ni VPN-ga qo'yib, segmentni faqat-VPN deb ataysiz. Keyin tunnel ikki daqiqaga yiqiladi va qurilmalar jimgina odatdagi WAN-ga qaytadi. SSID nomida hech narsa buni to'xtatmadi. Faqat-VPN segmenti tunnel mavjud bo'lmaganda nima bo'lishi bilan belgilanadi, tarmoq yorlig'i bilan emas.
Yorliq — va'da; zaxira yo'l siyosati — bajarilish.
Afsona: SSID — chegara
O'z yo'naltirish siyosatiga ega bo'lmagan SSID shunchaki nom. Chegara — alohida interfeys, VLAN yoki quyi tarmoq, o'z DHCP diapazoni va o'z qoidalari bilan. VLAN sizga Wi-Fi nomi bera olmaydigan yo'naltirish chegarasini beradi.
Mijozlarni izolyatsiya qilish ham dizaynning bir qismi. Segmentdagi ikki qurilma bir-biri bilan gaplashishi kerak bo'lishi mumkin yoki yo'q, va bu tanlov mehmon profilidan meros bo'lish o'rniga aniq bo'lishi kerak.
Bitta qoida yozishdan oldin segment interfeysi va manzil diapazonini yozib qo'ying. O'sha bitta satr keyingi chalkashlikning ko'p qismini oldini oladi.
Afsona: tunnel yo'nalishi har bir protokolni qamrab oladi
Firmware siyosatini o'sha segmentga qo'llang, uning internetga yo'naltirilgan trafigi tunneldan foydalansin. Tunnel talab qiladigan masofaviy yo'naltirish va tarjimani sozlang. Faqat segmentga haqiqatan kerak bo'lgan mahalliy resurs kirishini saqlang.
Ikkala manzil oilasini tekshiring. Agar IPv6 tunnel orqali o'tmasa, siyosat u bilan shug'ullanishi kerak, aks holda IPv6 qo'llab-quvvatlaydigan qurilma siz mo'ljallamagan to'g'ridan-to'g'ri yo'lni topadi.
IPv6 yoqilgan holda faqat IPv4 uchun o'chirish kaliti — sizib chiqishning keng tarqalgan usuli. IPv6 qo'llab-quvvatlaydigan mijoz bilan sinab ko'ring, faqat qo'lingizdagi noutbuk bilan emas.
Afsona: DNS va tunnel oxirgi nuqtasi tunnelga ergashadi
Router DNS mahalliy ravishda yaratilishi va segment siyosatiga emas, routerning o'z marshrutlash jadvaliga ergashishi mumkin. O'sha hal qiluvchi qaysi yo'lni ishlatishi va tunnel ishlamay qolganda nima qilishini hal qiling. VPN ning o'z oxirgi nuqta ulanishi yana bir istisno: unga tengdoshgacha bo'lgan hujjatlashtirilgan tashqi yo'l kerak. O'sha ulanishni tunnelga yuboring, u ko'tarila olmaydi.
Tiklash ma'muriyatini segmentning internet kirishidan alohida saqlang. Agar muvaffaqiyatsiz tengdosh sizni routerdan ham qulflasa, siz tunnel uzilishini joyga tashrifga aylantirdingiz. O'sha kirishni boshqaruv tarmog'ida saqlang, faqat-VPN segmentida emas.
Uni haqiqatan faqat-VPN qiladigan narsa
Tunnel pastda bo'lganda har safar segment uchun odatdagi WAN yo'naltirishini bloklang. Yorliqni haqiqatga aylantiradigan SSID emas, aynan o'sha qoida. Uni segment qurilmasidan zararsiz trafik bilan sinab ko'ring.
Uchta tekshiruv o'tkazing: tunnel orqali normal ishlash, tunnel pastda bo'lganda ruxsat etilgan nosozlik sinovi va u qaytganda tiklash. Boshqa uy segmenti butun vaqt davomida o'z mo'ljallangan yo'lini saqlab turishini tasdiqlang. Har qanday to'g'ridan-to'g'ri istisnoni hujjatlashtiring, aks holda yorliq endi eslay olmaydigan yo'llarni yashiradi.
Segment, tanlangan tunnel va istisnolar haqidagi qisqa yozuv firmware yangilanishi qoidalar tartibini yoki hal qiluvchi xatti-harakatini o'zgartirgandan so'ng sizga aniq tekshiruvlar beradi. pfSense uchun WireGuard mijozi retsepti tunnel tomoni uchun foydali ma'lumotnoma, segment siyosatining o'rnini bosmaydi.