Router VPN: LAN i WAN, què cal anotar abans de comprar
Una etiqueta VPN no diu res sobre VLAN, commutació per error de WAN ni rols de túnel. Anoteu les capacitats exactes del model i del firmware que voleu desplegar.
Tracteu l’etiqueta de llest per a VPN com una funció més d’un equip que també ha d’encaminar, segmentar i commutar en cas de fallada, perquè l’etiqueta no diu res sobre quantes xarxes separades pot allotjar el dispositiu. Comenceu escrivint un registre de capacitats per al model i el firmware exactes i després compareu aquest registre amb els fluxos que necessita el lloc. Les pàgines de màrqueting enumeren preses; rares vegades enumeren la pertinença a VLAN, la política de commutació per error o l’abast del túnel. El registre porta uns vint minuts i resol la majoria de les discussions de compra abans que arribi el maquinari.
Fixeu l’equip exacte abans que res
Els noms de model viatgen entre generacions de firmware, i la mateixa caixa es pot lliurar amb un controlador de commutador diferent segons la versió. Llegiu la identitat de la placa al mateix dispositiu i no a la capsa, perquè cada afirmació posterior quedi lligada a una cosa que pugueu reproduir. Una sola ordre cobreix model, nom de placa i versió de firmware a OpenWrt, i les pantalles equivalents existeixen a la majoria de firmwares empresarials.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseEscriviu aquestes cadenes al registre, mai abreujades. Després separeu la tasca d’encaminament ordinària de la tasca del túnel. Un dispositiu que reenvia bé els paquets pot negar-se a acabar un túnel, i un dispositiu que acaba un túnel pot no tenir manera de mantenir dues xarxes locals separades. Tractar tots dos com un sol requisit amaga el desajust fins que la unitat ja és muntada al bastidor, configurada i mig confiada.
Anoteu l’estructura de la LAN, no el nombre de ports
Quatre preses solen significar un sol commutador, i un commutador significa un sol domini de difusió tret que es configurin VLAN. Això va bé per a una xarxa domèstica plana i és incorrecte per a un lloc que vol un segment de convidats, un segment de gestió i un segment de càmeres aïllat al mateix equip. Anoteu quins ports pertanyen a quina VLAN, quines VLAN arriben a la CPU i quines interfícies porten adreces.
On el firmware ofereix VLAN, la llista d’interfícies decideix quantes polítiques diferents podeu escriure. Una VLAN definida al commutador però mai assignada com a interfície no té adreça ni zona de tallafocs, així que no pot imposar res per si sola.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Llegiu l’estat del commutador en lloc de confiar en el menú. En objectius OpenWrt antics l’eina de commutador imprimeix els dispositius configurats, i en objectius DSA les eines de pont informen els mateixos fets per port, per això la versió de firmware pertany al registre.
Anoteu el comportament de WAN i de commutació per error
Mètode d’accés, propietat de l’adreça i ordre de commutació per error van en una línia per enllaç ascendent, perquè un túnel que sobreviu a un canvi de WAN depèn de les tres coses. Una sessió PPPoE es reconnecta amb una adreça nova i fa caure el túnel amb ella, mentre que un enllaç DHCP que conserva la seva concessió potser no.
La commutació per error també requereix una decisió de política. Enviar tot el trànsit a l’enllaç de reserva és fàcil; mantenir el túnel al primari mentre el trànsit web ordinari fa servir el de reserva exigeix encaminament per polítiques, i no tots els firmwares l’exposen. Anoteu si el túnel està lligat a un sol enllaç ascendent i què fa el dispositiu amb les sessions establertes quan aquest enllaç desapareix. Guardeu la taula d’encaminament com a prova, no la casella de commutació per error.
Proveu un flux permès i un flux denegat
El registre només val la pena si el dispositiu es pot acceptar contra ell. Trieu un flux que ha de funcionar, un que no ho ha de fer, i executeu tots dos des d’un client al segment en qüestió. Un túnel que transporta totes les subxarxes és un fracàs quan el requisit era una sola subxarxa.
Després confirmeu la denegació, ja que un valor per defecte permissiu és la sorpresa habitual. El segment de convidats no ha d’arribar a l’adreça de gestió, i la comprovació hauria de mostrar un temps d’espera o un rebuig en lloc d’una pàgina d’inici de sessió.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Si el flux permès funciona i el denegat també, falta la segmentació encara que els menús suggerissin el contrari. Si tots dos fallen, l’abast del túnel o la ruta de retorn són incorrectes, i el registre de WAN normalment explica quin. Guardeu els dos resultats amb el registre de capacitats perquè el següent revisor vegi què es va acceptar, amb quin firmware i en quina data.