Хатняя лабараторыя і раздзелены тунель: накіроўвайце тое, што трэба, а не ўсё

Парада, што хатняй лабараторыі патрэбны поўны тунель, звычайна прыходзіць з падручніка, у якім ён быў, а не з патрабавання. Раздзелены тунель — не кампрамісная версія належнага VPN; гэта версія, табліцу маршрутаў якой вы можаце тлумачыць. Лабараторыі з пяццю сэрвісамі і інтэрфейсам кіравання не патрэбна, каб кожны пакет, які пакідае дом, ішоў праз тунель. Ёй патрэбныя інвентар і маршрут для кожнага пункта гэтага інвентара.

Міф: раздзелены тунель — гэта кампраміс

Міф жыве, бо поўны тунель прасцей наладзіць аднойчы і цяжэй адладжваць потым. Гэты абмен разумны для ноўтбука ў публічным Wi-Fi і памылковы для сцяжа ў падвале.

Ён таксама хавае другое дапушчэнне: адрасацыя лабараторыі не мае нічога агульнага з сеткай, з якой вы падключаецеся.

Інвентарызуйце рэсурсы раней за маршруты

Запішыце кожную падсетку лабараторыі, сэрвіс, які там жыве, імя, па якім вы яе вырашаеце, і каму дазволена да яе дабрацца; нататкі пра перасыланне для вашага шлюза апісваюць зваротны шлях, пад які вы плануеце. Дадайце дыяпазоны кантэйнераў і дыяпазоны LAN, якія аддалены кліент можа ўжо выкарыстоўваць, бо перакрыццё — гэта адмова, якую гэты інвентар прадухіляе. Маршрут, які ахоплівае кожны прыватны адрас, раней ці пазней сутыкнецца з хатняй сеткай. Інвентар — гэта таксама план тэставання, таму яго варта рабіць да налады, а не пасля.

Прызначце кожнаму рэсурсу шлях: праз тунель, наўпрост або забаронены. Рэсурс без прызначанага шляху — гэта той, што пазней спараджае заблытанае пытанне падтрымкі.

Пяць радкоў і слупок рашэнняў пераўзыходзяць табліцу маршрутаў, якую ніхто не можа прачытаць.

Шлюзу патрэбны зваротны шлях

Перасыланне на шлюзе — гэта толькі палова. Лабараторыі патрэбны маршрут назад да пула кліентаў або падтрыманая схема пераўтварэння, якая робіць вяртанне магчымым. Калі адказы не знаходзяць кліента, тунель выглядае злучаным, а кожны запыт сканчаецца тайм-аўтам; гэта сімптом маршрутызацыі, а не адмова VPN. Правярайце зваротны шлях як частку праекта, а не як крок пошуку непаладак.

Пул кліентаў, які перакрывае ўласную адрасацыю лабараторыі, — гэта другая палова гэтай праблемы, і ён ламаецца дакладна так жа.

Папраўце план, а не сімптомы, калі два дыяпазоны сутыкаюцца.

Ролі кіравання і інтэрнэту розныя

Вырашыце, ці толькі трафік лабараторыі выкарыстоўвае тунель, ці ён таксама становіцца выхадам у інтэрнэт. Не дадавайце маршрут па змаўчанні толькі таму, што падручнік выкарыстаў адзін, бо гэтае рашэнне змяняе, куды ідуць кожны запыт DNS і кожная праверка абнаўленняў. Захавайце знешні шлях да самога канцавога пункта VPN, інакш тунель паспрабуе несці сваё ўласнае знешняе злучэнне. Трымайце доступ кіравання вузкім і дасяжным праз зацверджаны метад аднаўлення.

Прыватны DNS можна выбраць для імёнаў лабараторыі, не мяркуючы, што кожны публічны запыт патрабуе таго ж рэзавера. Гэта рашэнне рэзавера, а не рашэнне маршруту.

Менавіта іх раздзяленне робіць рэжымы адмоў адрознымі потым.

Тэстуйце знешку, а не з LAN

Выкарыстоўвайце знешняе дазволенае злучэнне, а не тэст з той жа LAN, бо тэст з той жа LAN можа цалкам схаваць адсутны зваротны маршрут. Праверце адрас лабараторыі, яго прыватнае імя хоста, меркаваны прамы пункт прызначэння і патрэбныя паводзіны пры адмове. Выпадак адмовы важны гэтак жа, як выпадак поспеху: рэсурс, які павінен быць недасяжным, павінен сапраўды быць недасяжным. Запішыце ўсе чатыры вынікі, перш чым назваць праект завершаным.

Затым захавайце налады маршрутаў і DNS побач з інвентаром, з пазнаным уладальнікам. Калі лабараторыя атрымае яшчэ адну падсетку, абнавіце абодва і ператэстуйце.

Нетлумачаны маршрут, які перакрывае існуючую хатнюю сетку, — гэта прадказальны вынік прапускання гэтага кроку.

Завершаны праект малы, дакументаваны і нудны, і менавіта гэтага лабараторыя хоча ад сваёй сеткі. Цікавая версія — тая, што ламаецца, пакуль вы не дома.