Cô lập máy khách Wi-Fi so với truy cập cục bộ qua VPN: điều gì chặn bạn

Đặt hai điện thoại trên cùng một SSID khách và không máy nào thấy máy kia, nhưng cả hai đều ra được internet. Thêm một máy khách VPN trên một máy và máy in cách ba mét vẫn vô hình, trong khi một máy chủ ở lục địa khác trả lời ping. Không có gì hỏng trong đường hầm; có hai quyết định truy cập riêng biệt tham gia, và chỉ một trong số đó là về định tuyến. Điểm truy cập quyết định liệu các máy khách không dây có được nói chuyện với nhau hay không, và máy khách VPN quyết định đích nào đi ra khỏi đường hầm. Nhầm lẫn hai điều này tạo ra hàng giờ thay đổi cấu hình vô ích.

Hai cổng là độc lập

Cô lập máy khách là một quyết định chuyển mạch. Điểm truy cập nhận một khung từ một trạm đã liên kết, nhìn đích, nhận ra đích là một trạm khác trên cùng cầu, và bỏ khung đó. Địa chỉ IP của trạm không liên quan đến quyết định đó, và VPN cũng vậy.

Định tuyến là một quyết định khác, được đưa ra trên máy khách. Bảng định tuyến của VPN quyết định một gói đến 192.168.1.50 đi vào đường hầm hay ra qua giao diện Wi-Fi. Nếu gói ra qua Wi-Fi và điểm truy cập cô lập máy khách, nó chết tại điểm truy cập. Nếu gói vào đường hầm, điểm truy cập không bao giờ thấy đích gốc và không thể cô lập gì.

Cô lập chặn gì trên một điểm truy cập điển hình

Các nhà sản xuất cung cấp tính năng này dưới nhiều tên: cô lập máy khách, cô lập AP, cô lập trạm, hoặc một mạng khách ngụ ý điều đó. Trong OpenWrt, tùy chọn theo giao diện là isolate bên trong cấu hình không dây, như được mô tả trong tài liệu không dây, và một SSID khách thường có cầu và vùng tường lửa riêng. Kết quả là các khung unicast giữa máy khách không được bắc cầu, nên ping, kết nối SMB hay công việc in tới máy bên cạnh thất bại dù cả hai thiết bị hiển thị tín hiệu đầy.

Các giao thức khám phá chịu tổn thất trước và rõ ràng nhất. mDNS cho máy in và thiết bị đa phương tiện đi qua multicast tới 224.0.0.251, SSDP dùng 239.255.255.250, và việc các khung đó có qua cầu hay không phụ thuộc vào nhà sản xuất và việc chuyển đổi multicast sang unicast có được bật. Một thiết bị thiếu trong danh sách là bằng chứng yếu hơn một kết nối trực tiếp thất bại tới địa chỉ đã biết.

VPN thay đổi điều gì, và không thể thay đổi điều gì

Đường hầm đầy đủ lấy tuyến mặc định, nên các mạng con cục bộ chỉ được tới nếu máy khách giữ một tuyến cụ thể hơn cho chúng. Đường hầm chia tách làm ngược lại và giữ truy cập cục bộ theo thiết kế. Không cài đặt nào có thể buộc một điểm truy cập đang cô lập chuyển tiếp khung giữa hai máy khách của nó, vì thế cho phép lưu lượng cục bộ trong máy khách VPN là cần nhưng chưa đủ.

Trường hợp ngược lại cũng phổ biến như vậy. Điểm truy cập cho phép lưu lượng giữa các máy, máy khách VPN loại mạng con cục bộ khỏi đường hầm, và máy in vẫn không trả lời vì tường lửa của máy chủ coi mạng Wi-Fi là công cộng. Ba lớp, ba giá trị mặc định khác nhau, và chỉ tuyến là thấy được trong hầu hết nhật ký VPN.

Xác định cổng nào đang đóng

Bắt đầu bằng một thử nghiệm loại VPN khỏi bức tranh: kết nối hai thiết bị thường vào cùng SSID và thử tới một máy từ máy kia bằng địa chỉ. Nếu thất bại, điểm truy cập đang cô lập và không cài đặt VPN nào sửa được. Nếu thành công, chuyển sang máy khách và chạy ip route get 192.168.1.50 trên Linux hoặc Find-NetRoute -RemoteIPAddress 192.168.1.50 trên Windows; đầu ra nêu tên giao diện mà gói sẽ dùng.

Khi tuyến trỏ tới giao diện Wi-Fi, gói ra không mã hóa và câu hỏi trở thành liệu điểm truy cập và tường lửa của máy chủ có cho phép. Khi tuyến trỏ tới đường hầm, đích đang được gửi tới máy chủ VPN, điều này sai với một thiết bị trên cùng LAN và thường có nghĩa danh sách cho phép của đường hầm quá rộng.

Kết nối trực tiếp tới cổng của máy in là thử nghiệm tốt hơn một danh sách khám phá. nc -vz 192.168.1.50 9100 trên Linux hoặc Test-NetConnection 192.168.1.50 -Port 9100 trong PowerShell cho bạn biết địa chỉ có tới được hay không, trước khi bất kỳ ghép nối cấp ứng dụng nào vào cuộc thảo luận.

Chọn cách khắc phục cho mạng bạn đang ở

Trên mạng khách sạn hoặc mạng khách, cô lập là có chủ ý và bạn không nên cố phá nó. Hãy coi thiết bị cục bộ là không tới được, dùng VPN để tới một máy chủ có thể in hoặc chia sẻ, và ngừng coi SSID như một LAN.

Ở nhà, tắt cô lập trên SSID chính là hợp lý khi thiết bị là của bạn, còn SSID khách vẫn bị cô lập. Cài đặt nằm trong cấu hình không dây của điểm truy cập, và nó thuộc về đó, không phải các ngoại lệ tường lửa trên từng máy khách.

Ở văn phòng, hãy giả định điểm truy cập, VLAN và tường lửa của máy chủ đều có chủ ý. Hãy báo cáo lên cấp trên kèm kết quả thử nghiệm thay vì yêu cầu tắt cô lập, vì một mạng tách máy khách thường đang bảo vệ điều gì đó.

Xác minh ứng dụng, không chỉ ping

Một ping thành công chứng minh đường đi, không phải dịch vụ. Máy in thường chấp nhận 9100 thô hoặc IPP trên 631 nhưng từ chối khám phá, và chia sẻ tệp cần 445 cùng phân giải tên hoạt động. Xác nhận cổng mà ứng dụng dùng, rồi thử lại công việc thật trên thiết bị.

Giữ hai lớp tách biệt trong ghi chú của bạn: mạng Wi-Fi cho phép gì và VPN định tuyến gì. Lần tới khi một thiết bị biến mất khỏi danh sách, sự tách biệt đó sẽ cho bạn biết nên nhìn ở đâu trước.