Ychwanegu VPN safle wrth ymyl llwybrydd yr ISP heb dorri galwadau

Mae gan y rhan fwyaf o safleoedd bach un blwch yn barod sy’n gwneud rhyngrwyd, DHCP a’r llinell lais, ac ni fydd y blwch hwnnw’n rhedeg twnnel eich safle. Mae ychwanegu ail borth ar gyfer y llwybr preifat yn gweithio, ar yr amod eich bod yn penderfynu pwy sy’n berchen ar bob llwybr cyn cyffwrdd â chebl. Nid y twnnel yw’r risg go iawn; newid y ddyfais sy’n cadw’r ffonau wedi cofrestru yn dawel yw hi. Ewch drwy’r pum gwiriad yn eu trefn a stopiwch lle mae un yn methu.

Ysgrifennwch y rolau sy’n gweithio’n barod

Cofnodwch y porth diofyn, y gweinydd DHCP, y datryswr a’r ddyfais sy’n dal cofrestriad llais y darparwr. Yn yr enghraifft hon llwybrydd yr ISP yw 10.50.0.1, bydd y porth newydd yn 10.50.0.2, a’r safle pell yn 10.60.0.0/24. Nid oes dim yn y cynllun hwnnw’n newid y tair rôl gyntaf, a dyna’r pwynt yn union. Yna cadarnhewch y gall yr ail flwch orffen eich twnnel: gwiriwch y protocol, y trwybwn a ddisgwylir, ac a yw’n cael diweddariadau cadarnwedd neu becynnau. Mae dyfais â logo VPN heb lwybr diweddaru yn faich, nid yn ychwanegiad.

Os na allwch ddweud pwy sy’n berchen ar y gwasanaeth llais, stopiwch. Mae newid y llwybrydd sy’n dal cofrestriad heb gynllun cefnu yn troi prosiect VPN yn fethiant ffôn.

Rhowch un cyfeiriad ac un dasg i’r porth newydd

Cadwch ei gyfeiriad LAN y tu allan i’r pwll DHCP fel na symudodd ar ôl ailgychwyn, a pheidiwch â rhoi llwybr diofyn iddo ei hun oni bai eich bod am iddo ddod yn llwybr rhyngrwyd. Ei dasg yw dal y twnnel ac ateb dros ragddodiadau pell. Ar westeion LAN sy’n gorfod cyrraedd y safle pell, profwch pa lwybr maen nhw’n ei gymryd nawr a pha un rydych chi’n ei eisiau ar ôl y newid; yr un dau orchymyn cyn ac ar ôl yw’r dystiolaeth rataf.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Os yw’r chwiliad yn dychwelyd llwybrydd yr ISP ac mae’r traceroute yn marw ar ymyl y rhyngrwyd, nid oes gan y gwesteiwr lwybr pell eto, sy’n ddisgwyliedig. Os yw’n dychwelyd rhywbeth annisgwyl, datryswch hynny gyntaf, oherwydd mae pob cam diweddarach yn tybio’r sylfaen hon.

Dewiswch pwy sy’n berchen ar lwybr y rhagddodiad pell

Opsiwn A yw llwybrydd yr ISP: mae’n dal llwybr statig ar gyfer 10.60.0.0/24 tuag at y porth, ac mae pob gwesteiwr yn dilyn ei borth diofyn fel o’r blaen. Opsiwn B yw fesul gwesteiwr: dim ond y peiriannau sydd angen y safle pell sy’n cael llwybr penodol drwy 10.50.0.2, ac mae popeth arall yn aros yn ddigyffwrdd. Mae A yn lanach ar gyfer llawer o westeion, ond fel arfer mae angen i lwybrydd y darparwr dderbyn llwybr statig, ac nid yw rhai yn gwneud. Nid oes angen cydweithrediad y darparwr ar B, ond mae’n gadael cynnal cyfluniad y gwesteiwyr i chi, felly mae’n addas ar gyfer set fach gymeradwy o beiriannau.

Ym mhob achos rhaid i’r cyfeiriad dychwelyd fodoli. Os daw ateb pell i’r porth ac mae’r porth yn ei anfon yn syth at westai LAN, mae’r traffig yn osgoi cyflwr y mur tanio a oedd gan lwybrydd yr ISP ar y llwybr allan. Pan nad y porth yw llwybrydd diofyn y LAN, mae’r anghymesuredd hwnnw’n benderfyniad dylunio, nid yn fai i’w anwybyddu.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Cadwch y cofnod yn barhaol drwy berchnogion cyfluniad y gwesteiwr, nid drwy sgript mewngofnodi. Bydd llwybr sy’n bodoli dim ond ar ôl i rywun fewngofnodi yn methu’r tro cyntaf y bydd y peiriant yn ailgychwyn am reswm di-gysylltiad.

Trefnwch bwynt mynediad cyrraeddadwy

Mae angen cyfeiriad ar y porth y gall y safle pell gyrraedd. Y tu ôl i lwybrydd yr ISP mae hynny’n golygu anfon porth neu gofnod DMZ, ac mae’r ddau yn dibynnu ar i’r ISP gyflwyno’r traffig mewn gwirionedd. Ni all anfon lleol oresgyn NAT gradd cludwr ar ochr y darparwr. Os na fydd y darparwr yn rhoi pwynt cyrraeddadwy, gwrthdroi’r cyfeiriad: gadewch i’r ddau safle gychwyn tuag at hwb rydych chi’n ei reoli. Mae hynny’n ddyluniad dilys, ond mae’n ychwanegu trydedd ddibyniaeth ar gyfer anfon, ymddiriedaeth ac argaeledd, ac nid yw DNS deinamig yn cymryd ei le.

Cadarnhewch yr anfon gyda chofnod ar y porth, nid gyda gwefan sy’n sganio pyrth. Mae sganwyr yn dweud bod y porth ar gau nes bod y gwrandäwr wedi’i rwymo, ac mae anfon nad yw byth yn cyflwyno traffig yn edrych yr un fath â phorth ar gau o’r tu allan.

Derbyniwch y gwasanaeth preifat a’r llinell lais gyda’i gilydd

Profwch y gweithrediad bwriadedig o westai LAN, gyda DNS preifat a chrediadau’r ap ei hun. Nid yw twnnel wedi’i lwybro yn gwneud pori pell yn edrych fel segment Ethernet lleol, felly mae angen trefniadau eu hunain ar ddarganfod a datrys enwau.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Yna cadarnhewch fod mynediad rhyngrwyd arferol yn dal i weithio o’r un gwesteiwr a bod y ffonau yn dal wedi’u cofrestru; mae’r ddau wiriad hynny’n dal newid damweiniol i’r llwybr diofyn, y ffordd fwyaf cyffredin y mae’r prosiect hwn yn torri rhywbeth na fwriadodd ei gyffwrdd. Gorffennwch gyda nodyn adfer ysgrifenedig: pa ddyfais sy’n berchen ar ba rôl, y cyfeiriadau a gadwyd, a sut i dynnu llwybr y rhagddodiad pell mewn un cam. Mae llwybr preifat y gellir ei dynnu’n lân yn werth mwy nag un sy’n gweithio heddiw yn unig.