Drugi ruter kao VPN gateway: šta ne rješava
Drugi ruter daje odabranim uređajima drugačiji izlaz. Ne uklanja dvostruki NAT, ne popravlja lokalno otkrivanje i ne održava se sam nakon što tunel padne.
Postavljanje drugog rutera iza glavnog čist je način da nekoliko uređaja dobije drugačiji izlaz. To je i mjesto gdje ljudi očekuju više izolacije nego što je uređaj pruža. Glavna mreža zadržava svoju uobičajenu putanju, a donja mreža slijedi politiku drugog rutera. Ono što se dešava između njih i ono što se dešava kada tunel padne jeste dio koji vrijedi planirati.
Postavka radi. Mitovi se odnose na to šta ona štiti. To je još uvijek koristan dizajn; samo nije sigurnosna granica sama po sebi.
Mit: drugi ruter potpuno izoluje tunel
Uređaji iza drugog gatewaya slijede njegovu politiku. Uređaji na glavnoj mreži ne nasljeđuju taj tunel, i to je poenta. Ali drugi ruter još uvijek ima uzlaznu putanju kroz prvi, a ta putanja je odnos kojim morate upravljati.
Drugom ruteru također treba klijentski profil VPN-a. Funkcija koja prihvata samo dolazne VPN veze ne stvara odlazni tunel prema provajderu. Provjerite podršku za klijente u firmveru prije nego što kupite hardver.
Dajte donjoj mreži podmrežu koja se ne preklapa. Kopiranje primjernog raspona bez provjere postojećih mreža pouzdan je način da stvorite rutnu zagonetku.
Mit: dvostruki NAT je samo enkapsulacija VPN-a
Dva rutirana gatewaya mogu stvoriti dvostruki NAT, a to je odvojeno od vlastite enkapsulacije VPN-a. Običan odlazni saobraćaj obično radi. Dolazni pristup uslugama zahtijeva namjeran dizajn, često preusmjeravanje porta na oba uređaja ili potpuno drugačiji pristup.
Dodatni sloj prevođenja također otežava čitanje zapisa. Izvorišna adresa u zapisu glavnog rutera može pripadati drugom ruteru, a ne uređaju koji ispravljate. To vrijedi znati prije nego što krenete u poteru za fantomskim uređajem.
Zapišite plan adresa prije nego što bilo šta uključite.
Mit: otkrivanje prelazi jer oba LAN-a dobro pretražuju
Obje mreže mogu pretraživati internet dok otkrivanje između njih ne radi. Telefon na glavnom Wi-Fi-ju možda neće naći televizor iza VPN gatewaya, jer multicast otkrivanje po zadanom ne prelazi rutiranu granicu. Ako je to važno, treba vam reflektor ili drugačija topologija. Uspješno pretraživanje nije dokaz lokalnog otkrivanja.
Držite upravljačko sučelje drugog rutera dostupnim s ovlaštene putanje bez objavljivanja na WAN-u. Sačuvajte konfiguraciju oba gatewaya prije nego što promijenite rute.
Testirajte DNS i IPv6 kao i vidljivu izlaznu adresu. Tunel koji nosi samo IPv4 može procuriti drugu porodicu. Upišite oba rezultata u zapis o promjeni.
Šta vam drugi gateway zapravo daje
Čini obim vidljivim. Možete pokazati na jedan uređaj i reći koja mreža slijedi tunel, a domaćinstvo zadržava svoju uobičajenu putanju. Ta jasnoća za mnoge domove vrijedi dodatnog hardvera.
To je ipak još jedan uređaj koji se održava, s vjerodajnicama, firmverom i procesom oporavka. Odlučite da li donji uređaji treba da se zaustave ili vrate kada VPN padne, i testirajte to ponašanje. Gateway ne uklanja operativni rad; on ga koncentriše. Recept za pfSense WireGuard klijenta pokriva tunelsku stranu na jednoj uobičajenoj platformi.