LAN и WAN на VPN рутер: какво да запишете преди покупка

Разглеждайте етикета „готов за VPN“ като една функция на устройство, което трябва също да маршрутизира, сегментира и превключва при отказ, защото етикетът не казва нищо за това колко отделни мрежи може да поддържа устройството. Започнете с опис на възможностите за точния модел и фърмуер, след което сравнете този опис с потоците, от които се нуждае обектът. Маркетинговите страници изброяват портове; те рядко изброяват членство във VLAN, политика за превключване при отказ или обхват на тунела. Описът отнема около двадесет минути и решава повечето спорове при покупка преди пристигането на хардуера.

Фиксирайте точното устройство преди всичко друго

Имената на моделите преминават през поколения фърмуер и една и съща кутия може да се доставя с различен драйвер за комутатора в зависимост от версията. Четете идентичността на платката от самото устройство, а не от кашона, така че всяко по-късно твърдение да е свързано с нещо, което можете да възпроизведете. Една команда покрива модел, име на платката и версия на фърмуера в OpenWrt, а еквивалентни екрани съществуват в повечето бизнес фърмуери.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Запишете тези низове в описа, никога съкратени. След това отделете обичайната задача по маршрутизация от задачата на тунела. Устройство, което добре препраща пакети, може все още да откаже да прекрати тунел, а устройство, което прекратява тунел, може да няма начин да държи две локални мрежи разделени. Ако третирате тези неща като едно изискване, несъответствието се скрива, докато устройството вече е монтирано, конфигурирано и му се вярва наполовина.

Запишете структурата на LAN, а не броя портове

Четири порта обикновено означават един комутатор, а комутаторът означава един домейн на излъчване, освен ако не са конфигурирани VLAN. Това е добре за плоска домашна мрежа и погрешно за обект, който иска гостев сегмент, сегмент за управление и изолиран сегмент за камери на едно устройство. Запишете кои портове принадлежат на кой VLAN, кои VLAN достигат до процесора и кои интерфейси носят адреси.

Където фърмуерът предлага VLAN, списъкът с интерфейси решава колко отделни политики можете да напишете. VLAN, дефиниран на комутатора, но никога не зададен като интерфейс, няма адрес и няма зона на защитната стена, така че не може да наложи нищо самостоятелно.

Четете състоянието на комутатора, вместо да вярвате на менюто. При по-стари цели на OpenWrt инструментът за комутатора показва конфигурираните устройства, а при цели с DSA мостовите инструменти отчитат същите факти за всеки порт, затова версията на фърмуера принадлежи в описа.

Запишете поведението на WAN и превключването при отказ

Методът за достъп, собствеността върху адреса и редът за превключване при отказ принадлежат на един ред за всяка uplink връзка, защото тунел, който оцелява при промяна на WAN, зависи и от трите. PPPoE сесията се свързва отново с нов адрес и изпуска тунела с него, докато DHCP uplink връзка, която запазва наема си, може и да не го направи.

Превключването при отказ също изисква решение за политика. Изпращането на целия трафик към резервната връзка е лесно; задържането на тунела на основната, докато обикновеният уеб трафик използва резервната, изисква маршрутизация по политика и не всеки фърмуер я предоставя. Отбележете дали тунелът е вързан към една uplink връзка и какво прави устройството с установените сесии, когато тази връзка изчезне. Запазете таблицата за маршрутизация като доказателство, а не отметката за превключване при отказ.

Тествайте един разрешен и един забранен поток

Описът си заслужава да се пази само ако устройството може да бъде прието по него. Изберете един поток, който трябва да работи, и един, който не трябва, и пуснете и двата от клиент в съответния сегмент. Тунел, който носи всяка подмрежа, е провал, когато изискването е било една подмрежа.

След това потвърдете забраната, защото разрешителната настройка по подразбиране е обичайната изненада. Гостевият сегмент не трябва да достига адреса за управление и проверката трябва да покаже изтичане на времето или отказ, а не страница за вход.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Ако разрешеният поток работи и забраненият също работи, сегментацията липсва, дори менютата да подсказват друго. Ако и двата се провалят, обхватът на тунела или обратният път е грешен и записът за WAN обикновено обяснява кой. Пазете двата резултата с описа на възможностите, за да види следващият преглеждащ какво е прието, на кой фърмуер и на коя дата.