Tuislab-gesplete tonnel: bestuur wat jy nodig het, nie alles nie

Die advies dat 'n tuislab 'n volle tonnel nodig het, kom gewoonlik uit 'n handleiding wat een gehad het, nie uit 'n vereiste nie. Gesplete tonneling is nie die verswakte weergawe van 'n ordentlike VPN nie; dit is die weergawe waarvan jy die roetetabel kan verduidelik. 'n Lab met vyf dienste en 'n beheervlak het nie nodig dat elke pakket die huis verlaat deur 'n tonnel nie. Wat dit nodig het, is 'n inventaris en 'n roete vir elke item op daardie inventaris.

Die mite: gesplete tonneling is 'n kompromis

Die mite oorleef omdat 'n volle tonnel makliker is om een keer op te stel en harder om later te ontfout. Daardie ruil is redelik vir 'n skootrekenaar op openbare Wi-Fi en verkeerd vir 'n rek in die kelder.

Dit verberg ook 'n tweede aanname, naamlik dat die lab se adressering niks gemeen het met die netwerk waarmee jy verbind nie.

Maak die inventaris voor die roetes

Skryf elke lab-subnet neer, die diens wat daar woon, die naam waarmee jy dit opklaar, en wie toegelaat word om dit te bereik; die aanwysings vir aanstuur vir jou portaal beskryf die terugweg waarteen jy beplan. Voeg die houer-reekse by, en die LAN-reekse wat die afstandkliënt moontlik al gebruik, want oorlapping is die fout wat hierdie inventaris verhoed. 'n Roete wat elke privaat adres dek, sal vroeër of later met 'n tuisnetwerk bots. Die inventaris is ook die toetsplan, en daarom is dit die moeite werd om dit voor die konfigurasie te doen en nie daarna nie.

Wys elke bron aan 'n pad toe: deur die tonnel, direk, of geweier. 'n Bron zonder toegewysde pad is die een wat later die verwarde ondersteuningsvraag veroorsaak.

Vyf rye en 'n kol besluite verslaan 'n roetetabel wat niemand kan lees nie.

Die portaal het 'n terugweg nodig

Aanstuur op die portaal is net die helfte daarvan. Die lab het 'n roete terug na die kliëntpoel nodig, of 'n ondersteunde vertalingsreeling wat die terugkeer moontlik maak. As antwoorde nie die kliënt kan bereik nie, lyk die tonnel verbind en elke aanvraag tyds uit, wat 'n roetesimptoom is en nie 'n VPN-fout nie. Kontroleer die terugweg as deel van die ontwerp, nie as 'n foutsoekstap nie.

'n Kliëntpoel wat die lab se eie adressering oorlapp, is die ander helfte van hierdie probleem, en dit faal op presies dieselfde manier.

Reg die plan, nie die simptome nie, wanneer die twee reekse bots.

Beheer- en internetrolle is apart

Besluit of net lab-verkeer die tonnel gebruik, of dit ook 'n internetuitgang word. Voeg nie 'n standaardroete by net omdat 'n handleiding een gebruik het nie, want daardie besluit verander waar elke DNS-navraag en opdateringskontrole heen gaan. Bewaar 'n buitenweg na die VPN-eindpunt self, of die tonnel sal probeer om sy eie buitenste verbinding te dra. Hou beheertoegang smal en bereikbaar deur 'n goedgekeurde herstelmetode.

Privaat DNS kan vir lab-name gekies word sonder om aan te neem dat elke openbare navraag dieselfde opklaarder nodig het. Dit is 'n opklaarbesluit, nie 'n roetebesluit nie.

Om hulle apart te hou, is wat die foutmodusse later onderskeidbaar maak.

Toets van buite, nie van die LAN nie

Gebruik 'n eksterne gemagtigde verbinding eerder as 'n toets van dieselfde LAN, want 'n toets op dieselfde LAN kan 'n ontbrekende terugroete heeltemal verberg. Verifieer 'n lab-adres, sy privaat hostnaam, 'n beoogde direkte bestemming en die vereiste faalgedrag. Die faalfall maak net soveel saak as die suksesfall: 'n bron wat onbereikbaar moet zijn, moet werklik onbereikbaar zijn. Noteer al vier resultate voor jy die ontwerp voltooid noem.

Spaar dan die roete- en DNS-konfigurasie naast die inventaris, met 'n eienaar genoem. Wanneer die lab nog 'n subnet by kry, opdater beide en toets weer.

'n Onverduidelikde roete wat 'n bestaande tuisnetwerk oorlapp, is die standaarduitkoms van daardie stap te oorspring.

Die voltooide ontwerp is klein, gedokumenteerd en saai, wat presies is wat 'n lab van sy netwerk wil het. Die interessante weergawe is die een wat breek terwyl jy weg van die huis is.