Другі роўтар як VPN-шлюз: што ён не вырашае
Другі роўтар дае выбраным прыладам іншы выхад. Ён не прыбірае падвойны NAT, не выпраўляе лакальнае выяўленне і не падтрымлівае сябе пасля збою тунеля.
Паставіць другі роўтар за асноўным — чысты спосаб даць некалькім прыладам іншы выхад. Гэта таксама месца, дзе людзі чакаюць большай ізаляцыі, чым дае прылада. Асноўная сетка захоўвае звычайны шлях, а ніжняя сетка ідзе паводле палітыкі другога роўтара. Што адбываецца паміж імі і што адбываецца, калі тунель падае, — гэта частка, вартая планавання.
Устаноўка працуе. Міфы тычацца таго, ад чаго яна абараняе. Гэта ўсё яшчэ карысны дызайн; проста ён не з’яўляецца мяжай бяспекі сам па сабе.
Міф: другі роўтар цалкам ізалюе тунель
Прылады за другім шлюзам ідуць паводле яго палітыкі. Прылады асноўнай сеткі не атрымліваюць гэты тунель у спадчыну, і ў гэтым сэнс. Але другі роўтар па-ранейшаму мае шлях уверх праз першы, і гэты шлях — адносіны, якімі трэба кіраваць.
Другому роўтару таксама патрэбен кліенцкі профіль VPN. Функцыя, якая прымае толькі ўваходныя VPN-злучэнні, не стварае знешні тунель да правайдра. Праверце падтрымку кліента ў прашыўцы, перш чым купляць абсталяванне.
Дайце ніжняй сетцы падсетку, якая не перакрываецца. Капіраванне прыкладнага дыяпазону без праверкі існых сетак — надзейны спосаб стварыць маршрутную галаваломку.
Міф: падвойны NAT — гэта толькі інкапсуляцыя VPN
Два маршрутызаваныя шлюзы могуць стварыць падвойны NAT, і гэта асобна ад уласнай інкапсуляцыі VPN. Звычайны выходны трафік звычайна працуе. Уваходны доступ да сэрвісаў патрабуе прадуманага дызайну, часта перанакіравання порта на абедзвюх прыладах або зусім іншага падыходу.
Дадатковы пласт трансляцыі таксама робіць журналы цяжэйшымі для чытання. Адрас крыніцы ў журнале асноўнага роўтара можа належаць другому роўтару, а не прыладзе, якую вы адладжваеце. Гэта варта ведаць, перш чым ганяцца за фантомнай прыладай.
Запішыце план адрасоў, перш чым нешта ўключаць.
Міф: выяўленне перасякае мяжу, бо абедзве LAN добра праглядаюцца
Абедзве сеткі могуць праглядаць інтэрнэт, пакуль выяўленне паміж імі не працуе. Тэлефон у асноўным Wi-Fi можа не знайсці тэлевізар за VPN-шлюзам, бо multicast-выяўленне па змаўчанні не перасякае маршрутызаваную мяжу. Калі гэта важна, патрэбен адбівальнік або іншая тапалогія. Поспех прагляду не з’яўляецца доказам лакальнага выяўлення.
Трымайце інтэрфейс кіравання другога роўтара даступным з дазволенага шляху, не публікуючы яго ў WAN. Захавайце канфігурацыю абодвух шлюзаў, перш чым змяняць маршруты.
Праверце DNS і IPv6, а таксама бачны адрас выхаду. Тунель, які нясе толькі IPv4, можа выдаць іншае сямейства. Запішыце абодва вынікі ў запіс аб зменах.
Што другі шлюз сапраўды дае
Ён робіць абсяг бачным. Вы можаце паказаць на адну прыладу і сказаць, якая сетка ідзе праз тунель, а сям’я захоўвае звычайны шлях. Гэтая яснасць для многіх дамоў вартая дадатковага абсталявання.
Гэта ўсё яшчэ іншая прылада, якая патрабуе абслугоўвання, з уліковымі данымі, прашыўкай і працэсам аднаўлення. Вызначце, ці павінны ніжнія прылады спыняцца або вяртацца да звычайнага шляху, калі VPN падае, і праверце гэтыя паводзіны. Шлюз не прыбірае аперацыйную працу; ён яе засяроджвае. Рэцэпт кліента pfSense WireGuard апісвае бок тунеля на адной распаўсюджанай платформе.