Zəngləri pozmadan ISP marşrutlaşdırıcısının yanına sayt VPN-i əlavə edin

Əksər kiçik saytlar artıq interneti, DHCP-ni və səs xəttini idarə edən bir qurğuya malikdir və həmin qurğu sayt tunelinizi işlətməyəcək. Şəxsi yol üçün ikinci şlüz əlavə etmək işləyir, təki kabelə toxunmazdan əvvəl hər marşrutun kimə aid olduğunu müəyyən edəsiniz. Əsl risk tunel deyil; telefonların qeydiyyatda qalmasını təmin edən qurğunun səssizcə dəyişdirilməsidir. Beş yoxlamanı ardıcıl yerinə yetirin və biri uğursuz olduğu yerdə dayanın.

Artıq işləyən rolları yazın

Standart şlüzü, DHCP serverini, həlledicini və provayderin səs qeydiyyatını saxlayan qurğunu qeyd edin. Bu nümunədə ISP marşrutlaşdırıcısı 10.50.0.1, yeni şlüz 10.50.0.2, uzaq sayt isə 10.60.0.0/24 ünvanındadır; bunların heç biri ilk üç rolu dəyişmir və məqsəd də elə budur. Sonra ikinci qurğunun tuneli həqiqətən bağlaya bildiyini təsdiqləyin: protokol, gözlənilən ötürmə qabiliyyəti və firmware və ya paket yeniləmələri alıb-almadığı. VPN loqosu olan, lakin yeniləmə yolu olmayan qurğu əlavə deyil, yükdür.

Səs xidmətinin kimə aid olduğunu deyə bilmirsinizsə, dayanın. Qeydiyyat saxlayan marşrutlaşdırıcını geri qaytarma planı olmadan dəyişmək VPN layihəsini telefon kəsintisinə çevirir.

Yeni şlüzə bir ünvan və bir vəzifə verin

LAN ünvanını DHCP hovuzundan kənarda saxlayın ki, yenidən yüklənmədən sonra dəyişməsin və internet yolu olmasını istəmirsinizsə, öz standart marşrutunu verməyin. Onun vəzifəsi tuneli saxlamaq və uzaq prefikslərə cavab verməkdir. Uzaq sayta çıxmalı olan LAN hostlarında indi hansı yoldan getdiklərini və dəyişiklikdən sonra hansını istədiyinizi sübut edin; eyni iki əmr əvvəl və sonra ən ucuz sübutdur.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Axtarış ISP marşrutlaşdırıcısını qaytarır və traceroute internet kənarında ölürsə, hostun hələ uzaq yolu yoxdur və bu gözləniləndir. Gözlənilməz bir şey qaytarırsa, əvvəlcə onu həll edin, çünki sonrakı hər addım bu bazaya güvənir.

Uzaq prefiks marşrutunun sahibini seçin

Variant A ISP marşrutlaşdırıcısıdır: 10.60.0.0/24 üçün şlüzə yönələn statik marşrut saxlayır və hər host əvvəlki kimi standart şlüzünə tabe olur. Variant B host üzrədir: yalnız uzaq sayta ehtiyacı olan maşınlar 10.50.0.2 üzərindən açıq marşrut alır, qalan hər şey toxunulmaz qalır. A çox host üçün daha təmizdir, lakin provayder marşrutlaşdırıcısı statik marşrutu qəbul etməlidir; bəziləri etmir. B provayder əməkdaşlığı tələb etmir, amma host konfiqurasiyasını saxlamalı olursunuz, ona görə kiçik təsdiqlənmiş maşın dəstinə uyğundur.

Hər iki halda qayıdış istiqaməti olmalıdır. Uzaq cavab şlüzə gəlib şlüz onu birbaşa LAN hostuna yönəldirsə, trafik ISP marşrutlaşdırıcısının irəli yolda saxladığı firewall vəziyyətini keçir. Şlüz LAN-ın standart marşrutlaşdırıcısı deyilsə, bu asimmetriya dizayn qərarıdır, gözardı edilə bilən səhv deyil.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Girişi hostun konfiqurasiya sahibi vasitəsilə qalıcı edin, giriş skripti ilə deyil. Yalnız kimsə daxil olduqdan sonra mövcud olan marşrut, maşın əlaqəsiz səbəbdən yenidən yükləndikdə ilk dəfə uğursuz olacaq.

Əlçatan giriş nöqtəsi təşkil edin

Şlüzə uzaq saytın çata bildiyi ünvan lazımdır. ISP marşrutlaşdırıcısının arxasında bu, port yönləndirməsi və ya DMZ qeydi deməkdir və hər ikisi ISP-nin trafiki həqiqətən çatdırmasından asılıdır. Yerli yönləndirmə provayder tərəfindəki operator səviyyəli NAT-ı aşa bilməz. Provayder əlçatan nöqtə vermirsə, istiqaməti çevirin: hər iki sayt sizin nəzarət etdiyiniz mərkəzə doğru təşəbbüs etsin; bu etibarlı dizayndır, lakin yönləndirmə, etimad və əlçatanlıq üçün üçüncü asılılıq əlavə edir və dinamik DNS onu əvəz etmir.

Yönləndirməni port skan edən vebsaytla deyil, şlüzdə tutma ilə təsdiqləyin. Skanerlər dinləyici bağlanana qədər portu bağlı bildirir və trafik heç vaxt çatdırmayan yönləndirmə kənardan bağlı portla eyni görünür.

Şəxsi xidməti və səs xəttini birlikdə qəbul edin

Nəzərdə tutulan işi LAN hostundan, şəxsi DNS və tətbiqin öz etimadnamələri ilə sınayın. Marşrutlaşdırılmış tunel uzaq gəzintini yerli Ethernet seqmentinə bənzətmir, ona görə kəşf və ad həlli öz tənzimləmələrini tələb edir.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Sonra eyni hostdan adi internet çıxışının işlədiyini və telefonların hələ də qeydiyyatda olduğunu təsdiqləyin; bu iki yoxlama təsadüfi standart marşrut dəyişikliyini tutur və bu layihənin heç vaxt toxunmaq istəmədiyi bir şeyi pozmasının ən geniş yayılmış yoludur. Yazılı bərpa qeydi ilə bitirin: hansı qurğu hansı rolu daşıyır, saxlanılan ünvanlar və uzaq prefiks marşrutunu bir addımda necə silmək olar. Təmiz geri götürülə bilən şəxsi yol yalnız bu gün işləyəndən daha dəyərlidir.