Wi-Fi mijozlarini izolyatsiya qilish va VPN mahalliy kirishi: sizni nima to'sib qo'yadi

Bitta mehmon SSID ga ikki telefon qo'ying: hech biri boshqasini ko'rmaydi, lekin ikkalasi internetga chiqadi. Ulardan biriga VPN mijozi qo'shsangiz, uch metr naridagi printer ko'rinmas qoladi, boshqa qit'adagi server esa ping ga javob beradi. Tunnelda hech narsa buzilmagan; ikkita alohida kirish qarori ishtirok etadi va ulardan faqat bittasi marshrutlash haqida. Kirish nuqtasi simsiz mijozlar bir-biri bilan gaplasha olishini, VPN mijozi esa qaysi manzillar tunneldan chiqishini hal qiladi. Bu ikkisini aralashtirish soatlab foydasiz konfiguratsiya o'zgarishlarini keltiradi.

Ikki darvoza mustaqil

Mijozlarni izolyatsiya qilish — kommutatsiya qarori. Kirish nuqtasi bog'langan bitta stansiyadan kadr oladi, manzilga qaraydi, manzil o'sha ko'prikdagi boshqa stansiya ekanini sezadi va kadrni tashlaydi. Stansiyaning IP manzili bu qarorga aloqasiz, VPN ham shunday.

Marshrutlash — mijozda qabul qilinadigan boshqa qaror. VPN ning marshrut jadvali 192.168.1.50 uchun paket tunnelga kirishini yoki Wi-Fi interfeysidan chiqishini belgilaydi. Paket Wi-Fi orqali chiqsa va kirish nuqtasi mijozlarni izolyatsiya qilsa, u kirish nuqtasida o'ladi. Paket tunnelga kirsa, kirish nuqtasi asl manzilni hech qachon ko'rmaydi va hech narsani izolyatsiya qila olmaydi.

Odatiy kirish nuqtasida izolyatsiya nimani to'sadi

Ishlab chiqaruvchilar buni bir necha nom bilan beradi: mijozlarni izolyatsiya qilish, AP izolyatsiyasi, stansiyalar izolyatsiyasi yoki buni anglatuvchi mehmon tarmog'i. OpenWrt da har bir interfeys uchun parametr simsiz konfiguratsiya ichidagi isolate, bu simsiz tarmoq hujjatlarida tasvirlangan, va mehmon SSID odatda o'z ko'prigi va firewall zonasini oladi. Natijada mijozlar orasidagi unicast kadrlar ko'priklanmaydi, shuning uchun qo'shniga ping, SMB ulanishi yoki chop etish vazifasi muvaffaqiyatsiz bo'ladi, ikkala qurilma ham to'liq signal ko'rsatsa ham.

Aniqlash protokollari birinchi va eng ko'zga tashlanadigan zarar ko'radi. Printerlar va media qurilmalar uchun mDNS multicast orqali 224.0.0.251 ga boradi, SSDP 239.255.255.250 dan foydalanadi, va bu kadrlar ko'prikdan o'tishi ishlab chiqaruvchiga hamda multicast-dan unicast-ga aylantirish yoqilganiga bog'liq. Ro'yxatda yo'q qurilma ma'lum manzilga muvaffaqiyatsiz to'g'ridan-to'g'ri ulanishdan kuchsizroq dalil.

VPN nimani o'zgartiradi va nimani o'zgartira olmaydi

To'liq tunnel standart marshrutni oladi, shuning uchun mahalliy subnetlarga faqat mijoz ular uchun aniqroq marshrut saqlasa yetib boriladi. Bo'lingan tunnellar buning aksini qiladi va dizayn bo'yicha mahalliy kirishni saqlaydi. Bu sozlamalarning hech biri izolyatsiya qiluvchi kirish nuqtasini o'zining ikki mijozi orasida kadr uzatishga majburlay olmaydi, shuning uchun VPN mijozida mahalliy trafikka ruxsat berish zarur, ammo yetarli emas.

Qarama-qarshi holat ham shunchalik keng tarqalgan. Kirish nuqtasi tengdosh trafikiga ruxsat beradi, VPN mijozi mahalliy subnetni tunneldan chiqaradi, va printer baribir javob bermaydi, chunki xostning firewall i Wi-Fi tarmog'ini ommaviy deb hisoblaydi. Uch qatlam, uch xil standart qiymat, va ko'p VPN jurnallarida faqat marshrut ko'rinadi.

Qaysi darvoza yopiqligini aniqlang

VPN ni rasmdan chiqaradigan sinovdan boshlang: ikki oddiy qurilmani bitta SSID ga ulang va manzil orqali biridan ikkinchisiga yetishga harakat qiling. Bu muvaffaqiyatsiz bo'lsa, kirish nuqtasi izolyatsiya qilmoqda va hech qanday VPN sozlamasi buni tuzatmaydi. Muvaffaqiyatli bo'lsa, mijozga o'ting va Linux da ip route get 192.168.1.50 yoki Windows da Find-NetRoute -RemoteIPAddress 192.168.1.50 ni ishga tushiring; natija paket foydalanadigan interfeysni nomlaydi.

Marshrut Wi-Fi interfeysiga ishora qilganda, paket shifrlashsiz chiqadi va savol kirish nuqtasi hamda xostning firewall i ruxsat beradimi yo'qmi bo'ladi. Marshrut tunnelga ishora qilganda, manzil VPN serveriga yuborilmoqda, bu o'sha LAN dagi qurilma uchun noto'g'ri va odatda tunnelning ruxsat etilgan ro'yxati juda kengligini bildiradi.

Printer portiga to'g'ridan-to'g'ri ulanish aniqlash ro'yxatidan yaxshiroq sinov. Linux da nc -vz 192.168.1.50 9100 yoki PowerShell da Test-NetConnection 192.168.1.50 -Port 9100 manzilga umuman yetib bo'ladimi-yo'qmi, buni aytadi, har qanday ilova darajasidagi juftlash suhbatga kirishidan oldin.

O'zingiz turgan tarmoqqa mos tuzatishni tanlang

Mehmonxona yoki mehmon tarmog'ida izolyatsiya ataylab qilingan va uni yengishga urinmasligingiz kerak. Mahalliy qurilmani yetib bo'lmaydigan deb hisoblang, chop eta yoki ulasha oladigan xostga yetish uchun VPN dan foydalaning, va SSID ni LAN deb qabul qilishni to'xtating.

Uyda, qurilmalar sizniki bo'lsa, asosiy SSID da izolyatsiyani o'chirish o'rinli, mehmon SSID esa izolyatsiyalangan qoladi. Sozlama kirish nuqtasining simsiz konfiguratsiyasida yashaydi va uning o'rni shu yerda, har bir mijozdagi firewall istisnolarida emas.

Ofisda kirish nuqtasi, VLAN va xostning firewall i ataylab deb hisoblang. Izolyatsiyani o'chirishni so'rash o'rniga sinov natijalari bilan eskalatsiya qiling, chunki mijozlarni ajratadigan tarmoq odatda nimanidir himoya qiladi.

Ilovani tekshiring, faqat ping ni emas

Muvaffaqiyatli ping yo'lni isbotlaydi, xizmatni emas. Printerlar ko'pincha xom 9100 yoki 631 dagi IPP ni qabul qiladi, lekin aniqlashni rad etadi, fayl almashish esa 445 va ishlaydigan nom yechimini talab qiladi. Ilova ishlatadigan portni tasdiqlang, so'ng qurilmada haqiqiy vazifani qayta sinab ko'ring.

Yozuvlaringizda ikki qatlamni alohida saqlang: Wi-Fi tarmog'i nimaga ruxsat beradi va VPN nimani yo'naltiradi. Keyingi safar qurilma ro'yxatdan yo'qolsa, bu ajratish qayerga birinchi qarash kerakligini aytadi.