Přidejte VPN lokality vedle routeru ISP, aniž přerušíte hovory

Zachovejte internetovou a hlasovou roli routeru ISP, zatímco soukromou cestu převezme druhá brána. Proveďte těchto pět kontrol, než změníte jakoukoli trasu.

Většina malých lokalit má už jedno zařízení, které dělá internet, DHCP a hlasovou linku, a toto zařízení tunel lokality nepovede. Přidání druhé brány pro soukromou cestu funguje, pokud si před dotykem kabelu ujasníte, komu patří která trasa. Skutečné riziko není tunel, ale tichá výměna zařízení, které drží telefony registrované. Proveďte pět kontrol v pořadí a zastavte se tam, kde jedna selže.

Zapište role, které už fungují

Zaznamenejte výchozí bránu, DHCP server, překladač a zařízení, které drží hlasovou registraci u poskytovatele. V tomto příkladu je router ISP 10.50.0.1, nová brána bude 10.50.0.2 a vzdálená lokalita 10.60.0.0/24. Nic v tomto plánu nemění první tři role a přesně o to jde. Pak potvrďte, že druhé zařízení opravdu umí ukončit váš tunel: zkontrolujte protokol, očekávanou propustnost a zda dostává aktualizace firmwaru nebo balíčků. Zařízení s logem VPN a bez cesty aktualizací je zátěž, ne přínos.

Pokud nedokážete říci, komu patří hlasová služba, zastavte se. Výměna routeru, který drží registraci, bez plánu návratu promění projekt VPN ve výpadek telefonů.

Dejte nové bráně jednu adresu a jeden úkol

Rezervujte její LAN adresu mimo fond DHCP, aby se po restartu nepohnula, a nedávejte jí vlastní výchozí trasu, pokud nechcete, aby se stala internetovou cestou. Jejím úkolem je držet tunel a odpovídat za vzdálené prefixy. Na hostech v LAN, které musí dosáhnout vzdálené lokality, dokažte, kterou cestu používají nyní a kterou chcete po změně; stejné dva příkazy před a po jsou nejlevnější důkaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Pokud vyhledání vrátí router ISP a traceroute umře na okraji internetu, host zatím vzdálenou cestu nemá, což je očekávané. Pokud vrátí něco nečekaného, vyřešte to nejdřív, protože každý další krok tento základ předpokládá.

Vyberte, komu patří trasa vzdáleného prefixu

Varianta A je router ISP: drží statickou trasu pro 10.60.0.0/24 směrem k bráně a každý host jde jako dřív přes svou výchozí bránu. Varianta B je po hostech: jen stroje, které vzdálenou lokalitu potřebují, dostanou explicitní trasu přes 10.50.0.2 a všechno ostatní zůstane nedotčené. A je čistší pro mnoho hostů, ale obvykle vyžaduje, aby router poskytovatele statickou trasu přijal, což někteří nedělají. B nevyžaduje spolupráci poskytovatele, ale nechává vám údržbu konfigurace hostů, takže se hodí pro malou schválenou skupinu strojů.

V obou případech musí existovat zpětný směr. Když vzdálená odpověď dorazí na bránu a brána ji pošle přímo na host v LAN, provoz obejde stav firewallu, který router ISP držel na cestě tam. Když brána není výchozím routerem LAN, je tato asymetrie rozhodnutí návrhu, ne chyba, kterou lze ignorovat.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Záznam trvale uložte přes správce konfigurace hosta, ne přes přihlašovací skript. Trasa, která existuje jen po něčím přihlášení, selže při prvním restartu stroje z nesouvisejícího důvodu.

Zajistěte dostupný vstupní bod

Brána potřebuje adresu, na kterou se vzdálená lokalita dostane. Za routerem ISP to znamená přesměrování portu nebo záznam DMZ a obojí závisí na tom, zda poskytovatel provoz skutečně doručí. Místní přesměrování nepřekoná NAT na úrovni operátora na straně poskytovatele. Pokud poskytovatel nedá dostupný bod, obraťte směr: ať obě lokality iniciují spojení k rozbočovači, který ovládáte. Je to platný návrh, ale přidává třetí závislost na přesměrování, důvěře a dostupnosti a dynamický DNS to nenahradí.

Přesměrování potvrďte zachycením na bráně, ne webem, který skenuje porty. Skenery hlásí port zavřený, dokud se naslouchající socket nepřipojí, a přesměrování, které nikdy nic nedoručí, vypadá zvenčí stejně jako zavřený port.

Přijměte soukromou službu i hlasovou linku společně

Otestujte zamýšlený provoz z hosta v LAN, se soukromým DNS a vlastními přihlašovacími údaji aplikace. Směrovaný tunel neudělá ze vzdáleného prohlížení lokální ethernetový segment, takže objevování a překlad jmen potřebují vlastní uspořádání.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Pak potvrďte, že běžný přístup k internetu z téhož hosta stále funguje a telefony jsou stále registrované; tyto dvě kontroly zachytí náhodnou změnu výchozí trasy, nejčastější způsob, jak tento projekt rozbije něco, co vůbec nechtěl zasáhnout. Skončete písemnou poznámkou k obnově: které zařízení drží kterou roli, rezervované adresy a jak odstranit trasu vzdáleného prefixu jedním krokem. Soukromá cesta, kterou lze čistě stáhnout, má větší cenu než ta, která funguje jen dnes.

Související články