LAN і WAN у VPN-маршрутызатары: што запісаць перад купляй

Стаўцеся да этыкеткі «гатовы да VPN» як да адной з функцый прылады, якая таксама павінна маршрутызаваць, сегментаваць і пераключацца пры адмове, бо этыкетка нічога не кажа пра тое, колькі асобных сетак можа ўтрымліваць прылада. Пачніце з запісу магчымасцей для дакладнай мадэлі і прашыўкі, затым параўнайце гэты запіс з патокамі, якія патрэбныя аб’екту. Маркетынгавыя старонкі пералічваюць раздымы; яны рэдка пералічваюць членства ў VLAN, палітыку пераключэння пры адмове або межы тунеля. Запіс займае каля дваццаці хвілін і ўладжвае большасць спрэчак пра куплю да прыходу абсталявання.

Спачатку замацуйце дакладную прыладу

Назвы мадэляў перажываюць пакаленні прашывак, і адзін і той жа корпус можа пастаўляцца з розным драйверам камутатара ў залежнасці ад выпуску. Чытайце ідэнтычнасць платы з самой прылады, а не з кардоннай скрынкі, каб кожнае наступнае сцвярджэнне было прывязана да таго, што вы можаце прайграць. Адна каманда ахоплівае мадэль, назву платы і выпуск прашыўкі ў OpenWrt, і эквівалентныя экраны ёсць у большасці бізнес-прашывак.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Запішыце гэтыя радкі ў запіс, ніколі не скарачаючы. Затым аддзеліце звычайную задачу маршрутызацыі ад задачы тунеля. Прылада, якая добра перасылае пакеты, можа ўсё ж адмовіцца завяршаць тунель, а прылада, якая завяршае тунель, можа не мець спосабу трымаць дзве лакальныя сеткі асобна. Калі лічыць гэта адным патрабаваннем, неадпаведнасць хаваецца, пакуль блок ужо не ўсталяваны ў стойку, наладжаны і часткова давераны.

Запішыце структуру LAN, а не колькасць партоў

Чатыры раздымы звычайна азначаюць адзін камутатар, а камутатар азначае адзін дамен шырання, калі не наладжаны VLAN. Гэта добра для плоскай хатняй сеткі і дрэнна для аб’екта, які хоча гасцявы сегмент, сегмент кіравання і ізаляваны сегмент камер на адной прыладзе. Запішыце, якія парты належаць якому VLAN, якія VLAN дасягаюць працэсара і якія інтэрфейсы нясуць адрасы.

Там, дзе прашыўка прапануе VLAN, спіс інтэрфейсаў вызначае, колькі асобных палітык вы можаце напісаць. VLAN, вызначаны на камутатары, але ніколі не прызначаны як інтэрфейс, не мае адраса і не мае зоны файрвола, таму сам па сабе нічога не можа забяспечыць.

Чытайце стан камутатара, а не давярайце меню. На старых мэтах OpenWrt інструмент камутатара друкуе наладжаныя прылады, а на мэтах DSA інструменты моста паведамляюць тыя ж факты па кожным порце, таму выпуск прашыўкі належыць запісу.

Запішыце паводзіны WAN і пераключэння пры адмове

Метад доступу, уладанне адрасам і парадак пераключэння пры адмове належаць у адзін радок на кожнае ўзыходнае злучэнне, бо тунель, які выжывае пры змене WAN, залежыць ад усіх трох. Сесія PPPoE перападключаецца з новым адрасам і скідвае тунель разам з ім, а ўзыходнае злучэнне DHCP, якое захоўвае арэнду, можа гэтага не рабіць.

Пераключэнне пры адмове таксама патрабуе рашэння па палітыцы. Адпраўляць увесь трафік на рэзервовае злучэнне проста; трымаць тунель на асноўным, пакуль звычайны вэб-трафік выкарыстоўвае рэзервовае, патрабуе маршрутызацыі па палітыцы, і не кожная прашыўка яе прапануе. Адзначце, ці прывязаны тунель да аднаго ўзыходнага злучэння і што прылада робіць з усталяванымі сесіямі, калі гэтае злучэнне знікае. Захавайце табліцу маршрутызацыі як доказ, а не сцяжок пераключэння пры адмове.

Праверце адзін дазволены і адзін забаронены паток

Запіс варта захоўваць, толькі калі прыладу можна прыняць па ім. Выберыце адзін паток, які павінен працаваць, і адзін, які не павінен, і запусціце абодва з кліента ў адпаведным сегменце. Тунель, які нясе ўсе падсеткі, — гэта правал, калі патрабаваннем была адна падсетка.

Затым пацвердзіце забарону, бо дазваляльныя налады па змаўчанні — звычайная нечаканасць. Гасцявы сегмент не павінен дасягаць адраса кіравання, і праверка павінна паказваць тайм-аўт або адмову, а не старонку ўваходу.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Калі дазволены паток працуе і забаронены таксама працуе, сегментацыя адсутнічае, нават калі меню меркавала іншае. Калі абодва збаўляюць, межы тунеля або зваротны шлях няправільныя, і запіс WAN звычайна тлумачыць, што менавіта. Захоўвайце два вынікі разам з запісам магчымасцей, каб наступны рэцэнзент бачыў, што было прынята, на якой прашыўцы і ў якую дату.