Tweede router as VPN-poort: wat dit nie oplos nie

Om ’n tweede router agter die hoofrouter te plaas, is ’n skoon manier om ’n paar toestelle ’n ander uitgang te gee. Dit is ook waar mense meer isolasie verwag as wat die toestel lewer. Die hoofnetwerk hou sy gewone pad, en die stroomafnetwerk volg die tweede router se beleid. Wat tussen hulle gebeur, en wat gebeur wanneer die tonnel faal, is die deel wat beplanning werd is.

Die opstelling werk. Die mites gaan oor wat dit beskerm. Dit is steeds ’n nuttige ontwerp; dit is net nie op sigself ’n sekuriteitsgrens nie.

Mite: die tweede router isoleer die tonnel heeltemal

Toestelle agter die tweede poort volg sy beleid. Toestelle op die hoofnetwerk erf nie daardie tonnel nie, en dit is die punt. Maar die tweede router het steeds ’n opstroompad deur die eerste, en daardie pad is ’n verhouding wat jy moet bestuur.

Die tweede router het ook ’n VPN-kliëntprofiel nodig. ’n Funksie wat net inkomende VPN-verbindings aanvaar, skep nie ’n uitwaartse tonnel na ’n verskaffer nie. Kontroleer die firmware se kliëntondersteuning voordat jy die hardeware koop.

Gee die stroomafnetwerk ’n subnet wat nie oorvleuel nie. Om ’n voorbeeldreeks te kopieer sonder om bestaande netwerke na te gaan, is ’n betroubare manier om ’n roeteraaisel te skep.

Mite: dubbele NAT is net die VPN-inkapseling

Twee gerouteerde poorte kan dubbele NAT skep, en dit is apart van die VPN se eie inkapseling. Gewone uitgaande verkeer werk gewoonlik. Inkomende dienstoegang vereis ’n doelbewuste ontwerp, dikwels ’n poortaanstuur op albei toestelle of ’n heeltemal ander benadering.

Die ekstra vertalingslaag maak logboeke ook moeiliker om te lees. ’n Bronadres in die hoofrouter se logboek kan aan die tweede router behoort eerder as aan die toestel wat jy ontfout. Dit is die moeite werd om te weet voordat jy ’n spooktoestel agtervolg.

Skryf die adresplan neer voordat jy enigiets aanskakel.

Mite: ontdekking steek oor omdat albei LAN’s goed blaai

Albei netwerke kan op die internet blaai terwyl ontdekking tussen hulle misluk. ’n Telefoon op die hoof-Wi-Fi vind dalk nie ’n TV agter die VPN-poort nie, want multicast-ontdekking steek nie by verstek oor ’n gerouteerde grens nie. As dit saak maak, het jy ’n weerkaatser of ’n ander topologie nodig. Sukses met blaai is nie bewys van plaaslike ontdekking nie.

Hou die tweede router se bestuerskerm bereikbaar vanaf ’n gemagtigde pad sonder om dit op die WAN te publiseer. Stoor albei poorte se konfigurasie voordat jy roetes verander.

Toets DNS en IPv6 sowel as die sigbare uitgangadres. ’n Tonnel wat net IPv4 dra, kan die ander familie lek. Skryf albei resultate in die veranderingsrekord.

Wat die tweede poort jou wel gee

Dit maak omvang sigbaar. Jy kan na een toestel wys en sê watter netwerk die tonnel volg, en die huishouding hou sy gewone pad. Daardie duidelikheid is vir baie huise die ekstra hardeware werd.

Dit is steeds nog ’n toestel wat onderhou moet word, met geloofsbriewe, firmware en ’n herstelproses. Besluit of stroomaf toestelle moet stop of terugval wanneer die VPN faal, en toets daardie gedrag. Die poort verwyder nie die operasionele werk nie; dit konsentreer dit. Die pfSense WireGuard-kliëntresep dek die tonnelkant op een algemene platform.