Phân đoạn nhà chỉ VPN: chặn đường dự phòng, không chỉ SSID

Bạn đặt SSID khách lên VPN và gọi phân đoạn là chỉ VPN. Rồi đường hầm sập trong hai phút và các thiết bị lặng lẽ quay về WAN thông thường. Không có gì trong tên SSID ngăn điều đó. Một phân đoạn chỉ VPN được định nghĩa bằng điều gì xảy ra khi đường hầm không khả dụng, không phải bằng nhãn của mạng.

Nhãn là một lời hứa; chính sách dự phòng là sự thực thi.

Ngộ nhận: SSID là ranh giới

Một SSID không có chính sách chuyển tiếp riêng chỉ là một cái tên. Ranh giới là một giao diện, VLAN hoặc mạng con riêng, với phạm vi DHCP và các quy tắc riêng. VLAN cho bạn ranh giới chuyển tiếp mà một cái tên Wi-Fi không thể cho.

Cô lập máy khách cũng là một phần của thiết kế. Hai thiết bị trong phân đoạn có thể cần nói chuyện với nhau, hoặc không, và lựa chọn đó nên rõ ràng thay vì kế thừa từ hồ sơ khách.

Ghi lại giao diện và dải địa chỉ của phân đoạn trước khi viết một quy tắc nào. Dòng đó ngăn phần lớn sự nhầm lẫn về sau.

Ngộ nhận: tuyến đường hầm bao phủ mọi giao thức

Áp dụng chính sách của firmware cho phân đoạn đó để lưu lượng hướng ra internet dùng đường hầm. Cấu hình chuyển tiếp và dịch địa chỉ từ xa mà đường hầm yêu cầu. Chỉ giữ quyền truy cập tài nguyên cục bộ mà phân đoạn thực sự cần.

Kiểm tra cả hai họ địa chỉ. Nếu IPv6 không được chuyển qua đường hầm, chính sách phải xử lý nó, nếu không một thiết bị hỗ trợ IPv6 sẽ tìm thấy tuyến trực tiếp mà bạn không định.

Công tắc ngắt chỉ cho IPv4 khi IPv6 được bật là cách rò rỉ phổ biến. Thử với máy khách hỗ trợ IPv6, không chỉ với laptop bạn có trong tay.

Ngộ nhận: DNS và điểm cuối đường hầm đi theo đường hầm

DNS của router có thể được tạo cục bộ và đi theo bảng định tuyến của chính router, không phải chính sách của phân đoạn. Quyết định bộ phân giải đó nên dùng đường nào và làm gì khi đường hầm thất bại. Kết nối điểm cuối của chính VPN là một ngoại lệ khác: nó cần tuyến ngoài đã ghi lại tới peer. Đưa kết nối đó vào đường hầm và nó sẽ không thể khởi lên.

Giữ quản trị khôi phục tách khỏi quyền truy cập internet của phân đoạn. Nếu một peer thất bại còn khóa bạn ra khỏi router, bạn đã biến sự cố đường hầm thành một chuyến thăm tại chỗ. Giữ quyền truy cập đó trên mạng quản lý, không phải trên phân đoạn chỉ VPN.

Điều gì thực sự làm nó thành chỉ VPN

Chặn chuyển tiếp WAN thông thường cho phân đoạn mỗi khi đường hầm xuống. Chính quy tắc đó, không phải SSID, làm nhãn thành sự thật. Thử nó bằng lưu lượng vô hại từ một thiết bị trong phân đoạn.

Thực hiện ba kiểm tra: hoạt động bình thường qua đường hầm, bài thử lỗi được phép khi đường hầm xuống và khôi phục khi nó trở lại. Xác nhận rằng một phân đoạn khác trong nhà vẫn giữ tuyến dự định của nó suốt thời gian. Ghi lại mọi ngoại lệ trực tiếp, nếu không nhãn sẽ che giấu những tuyến bạn không còn nhớ.

Một bản ghi ngắn về phân đoạn, đường hầm đã chọn và các ngoại lệ cho bạn những kiểm tra cụ thể sau khi bản cập nhật firmware thay đổi thứ tự quy tắc hoặc hành vi của bộ phân giải. Công thức máy khách WireGuard cho pfSense là tài liệu tham khảo hữu ích cho phía đường hầm, không phải thứ thay thế chính sách phân đoạn.