Điểm truy cập Wi-Fi sau cổng VPN: giữ một LAN duy nhất

Máy khách không dây có thể nằm sau VPN mà điểm truy cập không biết gì về đường hầm. Bắc cầu radio vào LAN của cổng, để cổng sở hữu việc đánh địa chỉ và đường hầm, và mọi thiết bị trên Wi-Fi thừa hưởng cùng một chính sách. Lựa chọn thay thế, một phân đoạn định tuyến thứ hai với cổng riêng, là một thiết kế khác với kiểu hỏng khác.

Hai thứ bị nhầm lẫn vì cả hai đều đặt một chiếc hộp giữa internet và thiết bị của bạn. So sánh thứ mỗi bên sở hữu là cách nhanh nhất để chọn.

Hai cách đặt VPN trước Wi-Fi

Trong cách bố trí cầu nối, điểm truy cập chuyển khung giữa radio và phân đoạn có dây và không làm gì khác: một mạng con, một cơ quan địa chỉ, một bộ định tuyến thực thi chính sách. Trong cách bố trí định tuyến, chiếc hộp thứ hai có địa chỉ riêng, phạm vi DHCP riêng và tuyến mặc định riêng, nên lưu lượng đi qua thêm một ranh giới trước khi tới đường hầm. Thiết kế cầu nối khiến mọi thiết bị không dây trông như cục bộ với cổng, vì thế một bộ quy tắc bao phủ tất cả. Thiết kế định tuyến cho bạn một phân đoạn để suy nghĩ và một chỗ thứ hai nơi chính sách có thể sai.

internet
  -> vpn-capable gateway: routing, tunnel, dns, failure policy
  -> bridged access point: radio onto the same lan
  -> wifi clients

Chọn cầu nối khi yêu cầu là thiết bị không dây dùng cùng đường hầm với thiết bị có dây. Chọn định tuyến khi bạn muốn một phân đoạn có thể cô lập, hoặc khi chiếc hộp thứ hai đã tồn tại như một bộ định tuyến.

Cách bố trí cầu nối thực sự thay đổi điều gì

Bắc cầu loại bỏ một lớp dịch và một cổng mặc định cạnh tranh, và thêm một vấn đề quản lý. Điểm truy cập vẫn cần một địa chỉ mà bạn tiếp cận được, điều mà quy trình của nhà cung cấp thường sắp xếp qua LAN chính. Dịch vụ DHCP của nó phải tắt, nếu không hai cơ quan sẽ cấp các hợp đồng thuê mâu thuẫn. Cổng giữ đường hầm, các thiết lập trình phân giải và quyết định điều gì xảy ra khi đường hầm sập, nên chính sách sống ở đúng một nơi.

Radio không thừa hưởng bất cứ điều gì trong số đó từ đường hầm một cách tự động. Nó chỉ ngừng thêm những lớp sẽ che khuất điều đó.

Phân đoạn định tuyến thứ hai phù hợp ở đâu

Một phân đoạn định tuyến đáng giá sự phức tạp của nó khi các thiết bị phía sau cần cách đối xử khác với phần còn lại của LAN. Mạng khách, một phòng thí nghiệm hay một nhóm máy khách luôn phải ra ngoài qua một quốc gia cụ thể đều là lý do để đặt bộ định tuyến trên đường đi. Cái giá là cơ quan địa chỉ thứ hai, tường lửa thứ hai phải giữ nhất quán, và tuyến trở về từ LAN chính nếu ai đó ở đó cần tới phân đoạn. Đó là nghĩa vụ, không phải chi tiết cấu hình.

Sai lầm phổ biến là dựng phiên bản định tuyến do tình cờ, dùng lại một bộ định tuyến vẫn chạy DHCP và dịch của riêng nó. Điều đó tạo ra dịch kép và một chính sách không ai theo dõi được.

Hãy kiểm tra từ máy khách Wi-Fi, không phải từ cổng

Một yêu cầu thành công trên cổng chứng minh đường hầm hoạt động cho cổng. Câu hỏi thật là lưu lượng được chuyển tiếp của một máy khách không dây có dùng nó không, và điều đó phải được quan sát từ máy khách. Các lệnh bên dưới kiểm tra địa chỉ của máy khách, tuyến của nó và địa chỉ mà một dịch vụ từ xa nhìn thấy.

ip -4 addr show wlan0
ip route get 1.1.1.1
curl -sS https://api.ipify.org; echo
traceroute -n -m 4 1.1.1.1

Một địa chỉ bên trong LAN của cổng xác nhận cầu đang cho khung đi qua thay vì dịch chúng. Một tuyến có chặng đầu là cổng xác nhận máy khách không có được tuyến mặc định thứ hai từ nơi khác. Việc kiểm tra địa chỉ ra trả lời câu hỏi thật, và vết ngắn cho thấy các chặng đầu có đúng như mong đợi không. Nếu địa chỉ của máy khách đến từ một phạm vi khác, nghi phạm đầu tiên là một máy chủ DHCP lạc.

Ghi lại vai trò của từng chiếc hộp, địa chỉ của nó và cơ quan DHCP. Một sơ đồ ba đường là đủ, và nó giải quyết phần lớn tranh luận về việc một quy tắc thuộc về đâu.