Un segon encaminador com a passarel·la VPN: què no resol

Posar un segon encaminador darrere del principal és una manera neta de donar una sortida diferent a uns quants dispositius. També és on la gent espera més aïllament del que el dispositiu proporciona. La xarxa principal conserva el seu camí habitual, i la xarxa posterior segueix la política del segon encaminador. El que passa entre elles, i el que passa quan el túnel falla, és la part que val la pena planificar.

La configuració funciona. Els mites tracten de què protegeix. Encara és un disseny útil; simplement no és una frontera de seguretat per si sol.

Mite: el segon encaminador aïlla el túnel completament

Els dispositius darrere de la segona passarel·la segueixen la seva política. Els dispositius de la xarxa principal no hereten aquest túnel, i aquest és el punt. Però el segon encaminador encara té un camí ascendent a través del primer, i aquest camí és una relació que has de gestionar.

El segon encaminador també necessita un perfil de client VPN. Una funció que només accepta connexions VPN entrants no crea un túnel de sortida cap a un proveïdor. Comprova el suport de client del microprogramari abans de comprar el maquinari.

Dona a la xarxa posterior una subxarxa que no se solapi. Copiar un rang d’exemple sense comprovar les xarxes existents és una manera fiable de crear un trencaclosques d’encaminament.

Mite: el doble NAT és només l’encapsulament de la VPN

Dues passarel·les encaminades poden crear doble NAT, i això és independent de l’encapsulament propi de la VPN. El trànsit sortint ordinari normalment funciona. L’accés entrant a serveis necessita un disseny deliberat, sovint una redirecció de port als dos dispositius o un enfocament completament diferent.

La capa extra de traducció també fa que els registres siguin més difícils de llegir. Una adreça d’origen al registre de l’encaminador principal pot pertànyer al segon encaminador en lloc del dispositiu que estàs depurant. Val la pena saber-ho abans de perseguir un dispositiu fantasma.

Escriu el pla d’adreces abans d’encendre res.

Mite: el descobriment travessa perquè les dues LAN naveguen bé

Totes dues xarxes poden navegar per internet mentre el descobriment entre elles falla. Un telèfon al Wi-Fi principal pot no trobar un televisor darrere de la passarel·la VPN, perquè el descobriment multicast no travessa una frontera encaminada per defecte. Si això importa, necessites un reflector o una topologia diferent. L’èxit de navegació no és prova de descobriment local.

Mantén la interfície de gestió del segon encaminador accessible des d’un camí autoritzat sense publicar-la a la WAN. Desa la configuració de les dues passarel·les abans de canviar rutes.

Prova el DNS i l’IPv6, així com l’adreça de sortida visible. Un túnel que només transporta IPv4 pot filtrar l’altra família. Escriu tots dos resultats al registre de canvis.

Què t’aporta realment la segona passarel·la

Fa visible l’abast. Pots assenyalar un dispositiu i dir quina xarxa segueix el túnel, i la llar conserva el seu camí habitual. Aquesta claredat val el maquinari extra per a moltes llars.

Encara és un altre dispositiu mantingut amb credencials, microprogramari i un procés de recuperació. Decideix si els dispositius posteriors s’han d’aturar o tornar quan la VPN falla, i prova aquest comportament. La passarel·la no elimina la feina operativa; la concentra. La recepta de client pfSense WireGuard cobreix el costat del túnel en una plataforma comuna.