Voeg n terrein-VPN by die ISP-router sonder om oproepe te breek

Die meeste klein terreine het reeds een boks wat internet, DHCP en die stemlyn doen, en daardie boks gaan nie jou terreintonnel bestuur nie. n Tweede gateway vir die private pad werk, mits jy vooraf besluit wie elke roete besit voordat jy n kabel aanraak. Die werklike risiko is om stilweg die toestel te verander wat die telefone geregistreer hou. Werk die vyf kontroles in volgorde deur en stop waar een faal.

Skryf die rolle neer wat reeds werk

Teken die verstekgateway, DHCP-bediener, oplosser en die toestel met die verskaffer se stemregistrasie aan. Hier is die ISP-router 10.50.0.1, die nuwe gateway 10.50.0.2 en die afgeleë terrein 10.60.0.0/24; niks daarvan verander die eerste drie rolle nie, en dit is juis die punt. Bevestig dan dat die tweede boks jou tonnel kan termineer: protokol, verwagte deurvoer, en of dit firmware- of pakketopdaterings kry. n Toestel met n VPN-kenteken en geen opdateringspad is n las.

As jy nie kan sê wie die stemdiens besit nie, stop. Om n router met n registrasie sonder n terugrolplan te verander, maak van n VPN-projek n telefoononderbreking.

Gee die nuwe gateway een adres en een taak

Reserveer sy LAN-adres buite die DHCP-poel sodat dit nie ná n herbegin skuif nie, en gee dit geen eie verstekroete tensy dit n internetpad moet word. Sy taak is om die tonnel te hou en vir afgeleë prefikse te antwoord. Op gashere wat die afgeleë terrein moet bereik, bewys watter pad hulle nou gebruik en watter een jy daarna wil hê; dieselfde twee opdragte voor en ná is die goedkoopste bewys.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

As die opsoek die ISP-router teruggee en die traceroute by die internetrand sterf, het die gasheer nog geen afgeleë pad nie, wat verwag word. Gee dit iets onverwags terug, los dit eerste op, want elke latere stap aanvaar hierdie basislyn.

Kies wie die afgeleë-prefikroete besit

Opsie A is die ISP-router: n statiese roete vir 10.60.0.0/24 na die gateway, en elke gasheer volg soos voorheen sy verstekgateway. Opsie B is per gasheer: net die masjiene wat die afgeleë terrein nodig het, kry n eksplisiete roete deur 10.50.0.2, en die res bly ongeraak. A is skoner vir baie gashere, maar die verskaffer se router moet n statiese roete aanvaar, wat sommige nie doen nie. B vra geen samewerking nie, maar laat jou gasheerkonfigurasie onderhou, so dit pas by n klein goedgekeurde stel masjiene.

In albei gevalle moet die terugrigting bestaan. Kom n afgeleë antwoord by die gateway en stuur die gateway dit reguit na n LAN-gasheer, dan slaan die verkeer die firewalltoestand oor wat die ISP-router op die heenpad gehou het. Is die gateway nie die LAN se verstekrouter nie, is daardie asimmetrie n ontwerpbesluit, nie n fout om te ignoreer nie.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Bewaar die inskrywing deur die gasheer se konfigurasie-eienaar, nie deur n aanmeldskrip nie. n Roete wat eers na aanmelding bestaan, faal die eerste keer wanneer die masjien om n onverwante rede herbegin.

Reël n bereikbare inkomende eindpunt

Die gateway het n adres nodig wat die afgeleë terrein kan bereik. Agter die ISP-router is dit n poortaanstuur of n DMZ-inskrywing, en albei hang daarvan af dat die ISP die verkeer werklik lewer. n Plaaslike aanstuur oorkom nie karrieretrapskaal NAT aan die verskaffer se kant nie. Gee die verskaffer geen bereikbare eindpunt nie, keer die rigting om en laat beide terreine na n spilpunt inisiatief neem wat jy beheer; dit is geldig, maar voeg n derde afhanklikheid by vir aanstuur, vertroue en beskikbaarheid, en dinamiese DNS vervang dit nie.

Bevestig die aanstuur met n opname by die gateway, nie met n webwerf wat poorte skandeer nie. Skandeerders sê die poort is gesluit totdat die luisteraar bind, en n aanstuur wat nooit verkeer lewer nie, lyk van buite soos n geslote poort.

Aanvaar die private diens en die stemlyn saam

Toets die beoogde werking vanaf n LAN-gasheer, met private DNS en die toepassing se eie geloofsbriewe. n Geroteerde tonnel laat afgeleë blaai nie soos n plaaslike Ethernet-segment lyk nie, so ontdekking en naamoplossing het eie reëlings nodig.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Bevestig dan dat gewone internettoegang vanaf dieselfde gasheer werk en dat die telefone steeds geregistreer is; daardie twee kontroles vang n toevallige verstekroeteverandering, die algemeenste manier waarop hierdie projek iets breek wat dit nooit wou aanraak nie. Sluit af met n geskrewe herstelnota: watter toestel watter rol besit, die gereserveerde adresse, en hoe om die afgeleë-prefikroete in een stap te verwyder. n Private pad wat skoon onttrek kan word, is meer werd as een wat net vandag werk.