جهاز توجيه ثانٍ كبوابة VPN: ما لا يحلّه

إن وضع جهاز توجيه ثانٍ خلف الجهاز الرئيسي طريقة نظيفة لمنح بضعة أجهزة مخرجًا مختلفًا. وهو أيضًا الموضع الذي يتوقع فيه الناس عزلًا أكبر مما يقدّمه الجهاز. تحتفظ الشبكة الرئيسية بمسارها العادي، وتتبع الشبكة التابعة سياسة جهاز التوجيه الثاني. أما ما يحدث بينهما، وما يحدث عندما يفشل النفق، فهو الجزء الذي يستحق التخطيط.

التركيب يعمل. الأساطير تتعلق بما يحميه. لا يزال تصميمًا مفيدًا؛ لكنه ليس حدودًا أمنية بحد ذاته.

أسطورة: جهاز التوجيه الثاني يعزل النفق تمامًا

الأجهزة الموجودة خلف البوابة الثانية تتبع سياستها. أما الأجهزة على الشبكة الرئيسية فلا ترث ذلك النفق، وهذا هو المقصود. لكن جهاز التوجيه الثاني لا يزال له مسار صاعد عبر الأول، وذلك المسار علاقة عليك إدارتها.

يحتاج جهاز التوجيه الثاني أيضًا إلى ملف تعريف عميل VPN. والميزة التي تقبل اتصالات VPN الواردة فقط لا تنشئ نفقًا صادرًا إلى مزوّد. تحقّق من دعم العميل في البرنامج الثابت قبل شراء العتاد.

امنح الشبكة التابعة شبكة فرعية غير متداخلة. إن نسخ نطاق نموذجي دون التحقق من الشبكات القائمة طريقة موثوقة لصنع أحجية توجيه.

أسطورة: NAT المزدوج ليس إلا تغليف VPN

يمكن لبوابتين موجّهتين أن تصنعا NAT مزدوجًا، وذلك منفصل عن تغليف VPN نفسه. حركة الصادرة العادية تعمل عادة. أما الوصول إلى الخدمات الواردة فيحتاج تصميمًا متعمّدًا، غالبًا إعادة توجيه منفذ على الجهازين أو مقاربة مختلفة تمامًا.

تزيد طبقة الترجمة الإضافية صعوبة قراءة السجلات أيضًا. قد يعود عنوان المصدر في سجل جهاز التوجيه الرئيسي إلى جهاز التوجيه الثاني بدلًا من الجهاز الذي تصحّحه. وهذا أمر يستحق المعرفة قبل أن تطارد جهازًا وهميًا.

اكتب خطة العناوين قبل تشغيل أي شيء.

أسطورة: الاكتشاف يعبر لأن كلا الشبكتين تتصفحان جيدًا

يمكن للشبكتين تصفح الإنترنت بينما يفشل الاكتشاف بينهما. قد لا يعثر هاتف على Wi-Fi الرئيسي على تلفاز خلف بوابة VPN، لأن اكتشاف البث المتعدد لا يعبر حدودًا موجّهة افتراضيًا. إن كان ذلك مهمًا، فأنت تحتاج عاكسًا أو طوبولوجيا مختلفة. نجاح التصفح ليس دليلًا على الاكتشاف المحلي.

أبقِ واجهة إدارة جهاز التوجيه الثاني قابلة للوصول من مسار مصرّح به دون نشرها على WAN. احفظ إعدادات البوابتين قبل تغيير المسارات.

اختبر DNS وIPv6 إلى جانب عنوان المخرج الظاهر. النفق الذي يحمل IPv4 فقط يمكن أن يسرّب العائلة الأخرى. اكتب النتيجتين في سجل التغيير.

ما الذي تشتريه البوابة الثانية فعلًا

إنها تجعل النطاق مرئيًا. يمكنك أن تشير إلى جهاز واحد وتقول أي شبكة تتبع النفق، ويحتفظ المنزل بمساره المعتاد. وهذا الوضوح يستحق العتاد الإضافي في كثير من المنازل.

لا يزال جهازًا آخر يحتاج إلى صيانة، ببيانات اعتماد وبرنامج ثابت وعملية استرداد. قرّر ما إذا كان ينبغي للأجهزة التابعة أن تتوقف أو تتراجع عندما يفشل VPN، واختبر ذلك السلوك. البوابة لا تزيل العمل التشغيلي؛ بل تركّزه. ويغطي وصفة عميل pfSense WireGuard جانب النفق على منصة شائعة واحدة.