VPN-roeteerder se LAN en WAN: wat om aan te teken voordat jy koop

Behandel ’n VPN-gereed etiket as een kenmerk op ’n toestel wat ook moet roeteer, segmenteer en oorskakel, want die etiket sê niks oor hoeveel aparte netwerke die toestel kan hou nie. Begin deur ’n vermoërekord vir die presiese model en firmware te skryf en vergelyk dit dan met die vloei wat die perseel nodig het. Bemarkingsbladsye lys poorte; hulle lys selde VLAN-lidmaatskap, oorskakelingsbeleid of tonnelomvang. Die rekord neem omtrent twintig minute en besleg die meeste koopargumente voordat die hardeware aankom.

Pen die presiese toestel vas voor enigiets anders

Modelname beweeg oor firmware-generasies, en dieselfde omhulsel kan met ’n ander skakelaardrywer gestuur word, afhangend van die weergawe. Lees die bordidentiteit van die toestel self eerder as van die karton, sodat elke latere bewering aan iets gekoppel is wat jy kan reproduseer. Een opdrag dek model, bordnaam en firmware-weergawe op OpenWrt, en die ekwivalente skerms bestaan op die meeste sakeprogrammatuur.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Skryf daardie stringe in die rekord, nooit verkort nie. Skei dan die gewone roeteringstaak van die tonneltaak. ’n Toestel wat pakkette goed aanstuur, kan steeds weier om ’n tonnel te termineer, en ’n toestel wat ’n tonnel termineer, het miskien geen manier om twee plaaslike netwerke apart te hou nie. Om dit as een vereiste te behandel, verberg die wanverhouding totdat die eenheid al in die rek geplaas, gekonfigureer en half vertrou is.

Teken die LAN-struktuur aan, nie die poorttelling nie

Vier poorte beteken gewoonlik een skakelaar, en ’n skakelaar beteken een uitsaaidomein tensy VLAN's gekonfigureer is. Dit is reg vir ’n plat tuisnetwerk en verkeerd vir ’n perseel wat ’n gassegment, ’n bestuurssegment en ’n geïsoleerde kamerasegment op dieselfde toestel wil hê. Teken aan watter poorte aan watter VLAN behoort, watter VLAN's die SVE bereik, en watter koppelvlakke adresse dra.

Waar die firmware VLAN's bied, besluit die koppelvlaklys hoeveel afsonderlike beleide jy kan skryf. ’n VLAN wat op die skakelaar gedefinieer is maar nooit as ’n koppelvlak toegewys is nie, het geen adres en geen brandmuursone nie, so dit kan niks op sigself afdwing nie.

Lees die skakelaartoestand eerder as om die kieslys te vertrou. Op ouer OpenWrt-teikens druk die skakelaargereedskap die gekonfigureerde toestelle, en op DSA-teikens rapporteer die brug-gereedskap dieselfde feite per poort, daarom hoort die firmware-weergawe in die rekord.

Skryf die WAN- en oorskakelingsgedrag neer

Toegangsmetode, adreseienaarskap en oorskakelingsorde hoort op een reël per opstuurverbinding, want ’n tonnel wat ’n WAN-verandering oorleef, hang van al drie af. ’n PPPoE-sessie herverbind met ’n nuwe adres en laat die tonnel daarmee val, terwyl ’n DHCP-opstuurverbinding wat sy huur behou, dit miskien nie doen nie.

Oorskakeling vra ook ’n beleidsbesluit. Om alle verkeer na die rugsteunskakel te stuur is maklik; om die tonnel op die primêre skakel te hou terwyl gewone webverkeer die rugsteun gebruik, vereis beleidsroetering, en nie elke firmware bied dit nie. Let op of die tonnel aan een opstuurverbinding gebind is, en wat die toestel aan gevestigde sessies doen wanneer daardie skakel verdwyn. Neem die roetetabel as bewyse vas, nie die oorskakelingsmerkblokkie nie.

Toets een toegelate vloei en een geweierde vloei

Die rekord is net die moeite werd om te hou as die toestel daarteen aanvaar kan word. Kies een vloei wat moet werk, een wat nie mag nie, en voer albei uit vanaf ’n kliënt op die betrokke segment. ’n Tonnel wat elke subnet dra, is ’n mislukking wanneer die vereiste een subnet was.

Bevestig dan die weiering, want ’n toegeeflike verstek is die gewone verrassing. Die gassegment mag nie die bestuursadres bereik nie, en die toets behoort ’n tydverloop of weiering te wys eerder as ’n aanmeldbladsy.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

As die toegelate vloei werk en die geweierde vloei ook werk, ontbreek segmentering selfs al het die kieslyste anders voorgestel. As albei misluk, is die tonnelomvang of die terugpad verkeerd, en die WAN-rekord verduidelik gewoonlik watter. Hou die twee resultate by die vermoërekord sodat die volgende keurder sien wat aanvaar is, op watter firmware en op watter datum.