Dodajte VPN lokacije uz ISP ruter bez prekida poziva

Većina malih lokacija već ima jedan uređaj koji radi internet, DHCP i glasovnu liniju, a taj uređaj neće voditi tunel vaše lokacije. Dodavanje drugog gatewaya za privatnu putanju funkcioniše ako prije dodira kabela odlučite ko posjeduje koju rutu. Pravi rizik nije tunel, nego tiha zamjena uređaja koji drži telefone registriranim. Prođite pet provjera po redu i zaustavite se gdje jedna ne uspije.

Zapišite uloge koje već rade

Zabilježite zadani gateway, DHCP server, resolver i uređaj koji drži glasovnu registraciju kod provajdera. U ovom primjeru ISP ruter je 10.50.0.1, novi gateway će biti 10.50.0.2, a udaljena lokacija 10.60.0.0/24. Ništa u tom planu ne mijenja prve tri uloge i upravo je to poenta. Zatim potvrdite da drugi uređaj zaista može zaključiti potrebni tunel: provjerite protokol, očekivani protok i dobija li ažuriranja firmvera ili paketa. Uređaj s VPN logotipom i bez putanje ažuriranja je teret, a ne dodatak.

Ako ne možete reći ko posjeduje glasovnu uslugu, zaustavite se. Mijenjanje rutera koji drži registraciju bez plana vraćanja pretvara VPN projekat u telefonski prekid.

Dajte novom gatewayu jednu adresu i jedan zadatak

Rezervišite njegovu LAN adresu izvan DHCP pula da se ne pomjeri nakon restarta i ne dajte mu vlastitu zadanu rutu osim ako želite da postane internetska putanja. Njegov zadatak je držati tunel i odgovarati za udaljene prefikse. Na LAN hostovima koji moraju doći do udaljene lokacije dokažite koju putanju sada koriste i koju želite nakon promjene; iste dvije komande prije i poslije najjeftiniji su dokaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ako pretraga vraća ISP ruter i traceroute umire na rubu interneta, host još nema udaljenu putanju, što je očekivano. Ako vraća nešto neočekivano, prvo to riješite, jer svaki kasniji korak pretpostavlja ovu osnovu.

Odaberite ko posjeduje rutu udaljenog prefiksa

Opcija A je ISP ruter: drži statičku rutu za 10.60.0.0/24 prema gatewayu i svaki host slijedi svoj zadani gateway kao prije. Opcija B je po hostu: samo mašine kojima treba udaljena lokacija dobijaju eksplicitnu rutu kroz 10.50.0.2, a sve ostalo ostaje netaknuto. A je čistija za mnogo hostova, ali obično zahtijeva da provajderov ruter prihvati statičku rutu, što neki ne čine. B ne traži saradnju provajdera, ali ostavlja vam održavanje konfiguracije hostova, pa odgovara malom odobrenom skupu mašina.

U svakom slučaju povratni smjer mora postojati. Ako udaljeni odgovor dođe na gateway i gateway ga proslijedi ravno na LAN host, saobraćaj preskače stanje firewall-a koje je ISP ruter držao na putu naprijed. Kada gateway nije zadani ruter LAN-a, ta asimetrija je dizajnerska odluka, a ne greška koju možete ignorisati.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Učvrstite unos kroz vlasnika konfiguracije hosta, a ne kroz skriptu za prijavu. Ruta koja postoji samo nakon nečije prijave pasti će prvi put kada se mašina restartuje zbog nepovezanog razloga.

Obezbijedite dostupnu ulaznu tačku

Gatewayu treba adresa do koje udaljena lokacija može doći. Iza ISP rutera to znači prosljeđivanje porta ili DMZ unos, a oboje zavisi od toga da provajder zaista dostavlja saobraćaj. Lokalno prosljeđivanje ne može pobijediti NAT karrierer nivoa na strani provajdera. Ako provajder ne da dostupnu tačku, obrnite smjer: neka obje lokacije iniciraju prema čvorištu koje kontrolišete. To je valjan dizajn, ali dodaje treću zavisnost za prosljeđivanje, povjerenje i dostupnost, a dinamički DNS to ne zamjenjuje.

Potvrdite prosljeđivanje snimkom na gatewayu, a ne web lokacijom koja skenira portove. Skeneri prijavljuju port zatvorenim dok se slušalac ne veže, a prosljeđivanje koje nikad ne dostavi saobraćaj izgleda spolja isto kao zatvoren port.

Prihvatite privatnu uslugu i glasovnu liniju zajedno

Testirajte predviđeni rad s LAN hosta, uz privatni DNS i vlastite akreditive aplikacije. Rutirani tunel ne čini udaljeno pregledanje lokalnim Ethernet segmentom, pa otkrivanje i razrješavanje imena traže vlastite aranžmane.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Zatim potvrdite da običan internetski pristup s istog hosta još radi i da su telefoni još registrirani; te dvije provjere hvataju slučajnu promjenu zadane rute, najčešći način da ovaj projekat pokvari nešto što nije namjeravao dotaknuti. Završite pisanom bilješkom o oporavku: koji uređaj drži koju ulogu, rezervisane adrese i kako ukloniti rutu udaljenog prefiksa u jednom koraku. Privatna putanja koja se može čisto povući vrijedi više od one koja samo danas radi.