Druhý router jako VPN brána: co neřeší

Umístit druhý router za hlavní je čistý způsob, jak dát několika zařízením jiný východ. Je to také místo, kde lidé očekávají větší izolaci, než zařízení poskytuje. Hlavní síť si zachovává obvyklou cestu a podřízená síť následuje politiku druhého routeru. Co se děje mezi nimi a co se děje, když tunel selže, je část, kterou stojí za to naplánovat.

Sestava funguje. Mýty se týkají toho, před čím chrání. Je to stále užitečný návrh; jen sám o sobě není bezpečnostní hranicí.

Mýtus: druhý router tunel zcela izoluje

Zařízení za druhou bránou následují její politiku. Zařízení v hlavní síti tento tunel nedědí, a o to jde. Druhý router však stále má vzestupnou cestu přes první a ta cesta je vztah, který musíte spravovat.

Druhý router také potřebuje klientský profil VPN. Funkce, která přijímá jen příchozí VPN spojení, nevytváří odchozí tunel k poskytovateli. Před koupí hardwaru zkontrolujte podporu klienta ve firmwaru.

Dejte podřízené síti podsíť, která se nepřekrývá. Kopírování vzorového rozsahu bez kontroly existujících sítí je spolehlivý způsob, jak vytvořit směrovací hlavolam.

Mýtus: dvojitý NAT je jen zapouzdření VPN

Dvě směrované brány mohou vytvořit dvojitý NAT, a to je oddělené od vlastního zapouzdření VPN. Běžný odchozí provoz obvykle funguje. Příchozí přístup ke službám vyžaduje promyšlený návrh, často přesměrování portu na obou zařízeních nebo zcela jiný přístup.

Další překladová vrstva také ztěžuje čtení protokolů. Zdrojová adresa v protokolu hlavního routeru může patřit druhému routeru, nikoli zařízení, které ladíte. To je dobré vědět, než se pustíte za fantomovým zařízením.

Zapište plán adres, než cokoli zapnete.

Mýtus: objevování prochází, protože obě LAN dobře prohlížejí

Obě sítě mohou prohlížet internet, zatímco objevování mezi nimi selhává. Telefon v hlavní Wi-Fi nemusí najít televizi za VPN bránou, protože multicastové objevování ve výchozím nastavení nepřekračuje směrovanou hranici. Pokud na tom záleží, potřebujete reflektor nebo jinou topologii. Úspěšné prohlížení není důkazem lokálního objevování.

Udržujte rozhraní pro správu druhého routeru dostupné z autorizované cesty, aniž byste je zveřejnili ve WAN. Před změnou tras uložte konfiguraci obou bran.

Otestujte DNS a IPv6 stejně jako viditelnou výstupní adresu. Tunel, který nese jen IPv4, může uniknout druhou rodinu. Oba výsledky zapište do záznamu o změně.

Co vám druhá brána skutečně přinese

Dělá rozsah viditelným. Můžete ukázat na jedno zařízení a říct, která síť následuje tunel, a domácnost si zachová obvyklou cestu. Ta jasnost stojí u mnoha domovů za extra hardware.

Je to stále další udržované zařízení s přihlašovacími údaji, firmwarem a procesem obnovy. Rozhodněte, zda se zařízení níže mají zastavit, nebo vrátit, když VPN selže, a toto chování otestujte. Brána neodstraňuje provozní práci; koncentruje ji. Recept na klienta pfSense WireGuard pokrývá tunelovou stranu na jedné běžné platformě.