VPN router: LAN a WAN — co si zapsat před nákupem
Štítek VPN neříká nic o VLAN, přepínání při výpadku WAN ani rolích tunelů. Zapište přesné schopnosti modelu a firmwaru, který hodláte nasadit.
Berte štítek připraveno na VPN jako jednu vlastnost zařízení, které musí také routovat, segmentovat a při výpadku přepínat, protože štítek neříká nic o tom, kolik oddělených sítí zařízení pojme. Začněte zápisem přehledu schopností pro přesný model a firmware a pak tento přehled porovnejte s toky, které lokalita potřebuje. Marketingové stránky vyjmenovávají konektory; málokdy uvádějí členství ve VLAN, politiku přepínání při výpadku nebo rozsah tunelu. Zápis zabere asi dvacet minut a vyřeší většinu nákupních sporů dřív, než dorazí hardware.
Nejdřív zafixujte přesné zařízení
Názvy modelů putují mezi generacemi firmwaru a stejná skříň může být dodána s jiným ovladačem přepínače podle vydání. Čtěte identitu desky ze samotného zařízení, ne z kartonu, aby každé pozdější tvrzení bylo vázáno na něco, co dokážete zopakovat. Jeden příkaz pokrývá model, název desky a vydání firmwaru v OpenWrt a ekvivalentní obrazovky existují ve většině podnikových firmwarů.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseZapište tyto řetězce do přehledu, nikdy zkrácené. Pak oddělte běžný úkol routování od úkolu tunelu. Zařízení, které dobře předává pakety, může přesto odmítnout ukončit tunel, a zařízení, které tunel ukončuje, nemusí mít způsob, jak udržet dvě místní sítě oddělené. Pokud se obojí bere jako jeden požadavek, nesoulad se skrývá, dokud jednotka už není v racku, nakonfigurovaná a napůl důvěryhodná.
Zapište strukturu LAN, ne počet portů
Čtyři konektory obvykle znamenají jeden přepínač a přepínač znamená jednu broadcastovou doménu, pokud nejsou nakonfigurovány VLAN. To je v pořádku pro plochou domácí síť a špatné pro lokalitu, která chce na stejném zařízení segment pro hosty, segment pro správu a izolovaný segment pro kamery. Zapište, které porty patří ke které VLAN, které VLAN dosáhnou procesoru a která rozhraní nesou adresy.
Tam, kde firmware nabízí VLAN, rozhoduje seznam rozhraní, kolik odlišných politik můžete napsat. VLAN definovaná na přepínači, ale nikdy nepřiřazená jako rozhraní, nemá adresu ani zónu firewallu, takže sama nic nevynutí.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Čtěte stav přepínače, místo abyste věřili nabídce. Na starších cílech OpenWrt nástroj přepínače vypisuje nakonfigurovaná zařízení a na cílech DSA nástroje mostu hlásí stejná fakta pro každý port, proto vydání firmwaru patří do přehledu.
Zapište chování WAN a přepínání při výpadku
Metoda přístupu, vlastnictví adresy a pořadí přepínání při výpadku patří na jeden řádek pro každé nadřazené připojení, protože tunel, který přežije změnu WAN, závisí na všech třech. Relace PPPoE se znovu připojí s novou adresou a shodí s ní i tunel, zatímco připojení DHCP, které si drží pronájem, to nemusí udělat.
Přepínání při výpadku vyžaduje i rozhodnutí o politice. Posílat veškerý provoz na záložní spojení je snadné; udržet tunel na primárním, zatímco běžný webový provoz používá záložní, vyžaduje politické směrování a ne každý firmware ho nabízí. Poznamenejte, zda je tunel vázán na jedno nadřazené připojení a co zařízení dělá s navázanými relacemi, když to připojení zmizí. Uložte směrovací tabulku jako důkaz, ne zaškrtávací políčko přepínání při výpadku.
Otestujte jeden povolený a jeden zakázaný tok
Přehled má cenu uchovávat jen tehdy, lze-li zařízení podle něj přijmout. Vyberte jeden tok, který musí fungovat, jeden, který nesmí, a spusťte oba z klienta v dotčeném segmentu. Tunel, který nese každou podsíť, je selhání, když požadavkem byla jedna podsíť.
Potom potvrďte zákaz, protože povolující výchozí nastavení je obvyklé překvapení. Segment pro hosty nesmí dosáhnout adresy správy a kontrola by měla ukázat vypršení času nebo odmítnutí, ne přihlašovací stránku.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Pokud povolený tok funguje a zakázaný také, segmentace chybí, i když nabídky naznačovaly opak. Pokud oba selžou, rozsah tunelu nebo zpáteční cesta jsou špatné a přehled WAN obvykle vysvětlí který. Uchovejte oba výsledky s přehledem schopností, aby další recenzent viděl, co bylo přijato, na jakém firmwaru a k jakému datu.