Втори рутер като VPN шлюз: какво не решава
Вторият рутер дава на избрани устройства различен изход. Той не премахва двойния NAT, не поправя локалното откриване и не се поддържа сам, след като тунелът се повреди.
Поставянето на втори рутер зад основния е чист начин да дадете на няколко устройства различен изход. Това е и мястото, където хората очакват повече изолация, отколкото устройството осигурява. Основната мрежа запазва обичайния си път, а подчинената мрежа следва политиката на втория рутер. Какво се случва между тях и какво се случва, когато тунелът се повреди, е частта, която заслужава планиране.
Настройката работи. Митовете са за това какво защитава. Тя все още е полезен дизайн; просто не е граница за сигурност сама по себе си.
Мит: вторият рутер изолира тунела напълно
Устройствата зад втория шлюз следват неговата политика. Устройствата в основната мрежа не наследяват този тунел и това е смисълът. Но вторият рутер все още има път нагоре през първия и този път е взаимоотношение, което трябва да управлявате.
Вторият рутер се нуждае и от клиентски профил за VPN. Функция, която приема само входящи VPN връзки, не създава изходящ тунел към доставчик. Проверете поддръжката на клиент във фърмуера, преди да купите хардуера.
Дайте на подчинената мрежа подмрежа без застъпване. Копирането на примерен диапазон без проверка на съществуващите мрежи е надежден начин да създадете маршрутна главоблъсканица.
Мит: двойният NAT е само инкапсулацията на VPN
Два маршрутизирани шлюза могат да създадат двоен NAT и това е отделно от собствената инкапсулация на VPN. Обичайният изходящ трафик обикновено работи. Входящият достъп до услуги изисква умишлен дизайн, често пренасочване на порт на двете устройства или напълно различен подход.
Допълнителният слой за транслация също прави журналите по-трудни за четене. Адрес на източник в журнала на основния рутер може да принадлежи на втория рутер, а не на устройството, което отстранявате. Това си струва да се знае, преди да гоните фантомно устройство.
Запишете плана за адресите, преди да включите нещо.
Мит: откриването преминава, защото и двете LAN мрежи се разглеждат добре
И двете мрежи могат да разглеждат интернет, докато откриването между тях се проваля. Телефон в основния Wi-Fi може да не намери телевизор зад VPN шлюза, защото multicast откриването по подразбиране не преминава маршрутизирана граница. Ако това е важно, трябва ви рефлектор или друга топология. Успешното разглеждане не е доказателство за локално откриване.
Дръжте интерфейса за управление на втория рутер достъпен от разрешен път, без да го публикувате в WAN. Запазете конфигурацията на двата шлюза, преди да промените маршрутите.
Тествайте DNS и IPv6, както и видимия адрес на изхода. Тунел, който носи само IPv4, може да изтече другото семейство. Запишете двата резултата в записа за промяната.
Какво всъщност ви дава вторият шлюз
Прави обхвата видим. Можете да посочите едно устройство и да кажете коя мрежа следва тунела, а домакинството запазва обичайния си път. Тази яснота си струва допълнителния хардуер за много домове.
Той все още е още едно устройство за поддръжка с идентификационни данни, фърмуер и процес за възстановяване. Решете дали подчинените устройства трябва да спрат или да се върнат, когато VPN се повреди, и тествайте това поведение. Шлюзът не премахва оперативната работа; той я концентрира. Рецептата за клиент pfSense WireGuard покрива страната на тунела на една разпространена платформа.