Ail lwybrydd fel porth VPN: beth nad yw’n ei ddatrys

Mae rhoi ail lwybrydd y tu ôl i’r prif un yn ffordd lân o roi allanfa wahanol i ychydig o ddyfeisiau. Dyma hefyd lle mae pobl yn disgwyl mwy o ynysu nag y mae’r ddyfais yn ei ddarparu. Mae’r prif rwydwaith yn cadw ei llwybr arferol, ac mae’r rhwydwaith i lawr yn dilyn polisi’r ail lwybrydd. Yr hyn sy’n digwydd rhyngddynt, a’r hyn sy’n digwydd pan fetha’r twnnel, yw’r rhan sy’n werth ei chynllunio.

Mae’r gosodiad yn gweithio. Mae’r mythau yn ymwneud â’r hyn y mae’n ei amddiffyn. Mae’n dal yn ddyluniad defnyddiol; nid yw’n ffin diogelwch ynddo’i hun.

Myth: mae’r ail lwybrydd yn ynysu’r twnnel yn gyfan gwbl

Mae dyfeisiau y tu ôl i’r ail borth yn dilyn ei pholisi. Nid yw dyfeisiau ar y prif rwydwaith yn etifeddu’r twnnel hwnnw, a dyna’r pwynt. Ond mae gan yr ail lwybrydd lwybr i fyny trwy’r cyntaf o hyd, ac mae’r llwybr hwnnw’n berthynas y mae’n rhaid i chi ei rheoli.

Mae’r ail lwybrydd hefyd angen proffil cleient VPN. Nid yw nodwedd sy’n derbyn cysylltiadau VPN sy’n dod i mewn yn unig yn creu twnnel allanol i ddarparwr. Gwiriwch gefnogaeth cleient y firmware cyn prynu’r caledwedd.

Rhowch is-rwydwaith nad yw’n gorgyffwrdd i’r rhwydwaith i lawr. Mae copïo ystod enghreifftiol heb wirio’r rhwydweithiau presennol yn ffordd ddibynadwy o greu pos llwybro.

Myth: y NAT dwbl yw unig enwcapswleiddio’r VPN

Gall dau borth llwybro greu NAT dwbl, ac mae hynny’n wahanol i enwcapswleiddio’r VPN ei hun. Mae traffig allan arferol fel arfer yn gweithio. Mae angen dyluniad bwriadol ar fynediad gwasanaeth sy’n dod i mewn, yn aml ailgyfeirio porth ar y ddwy ddyfais neu ddull cwbl wahanol.

Mae’r haen gyfieithu ychwanegol hefyd yn gwneud logiau’n anoddach eu darllen. Gall cyfeiriad ffynhonnell yng nghofnod y prif lwybrydd berthyn i’r ail lwybrydd yn hytrach na’r ddyfais rydych chi’n ei dadfygio. Mae hynny’n werth ei wybod cyn i chi erlid dyfais ffug.

Ysgrifennwch y cynllun cyfeiriadau cyn i chi bweru unrhyw beth.

Myth: mae darganfod yn croesi oherwydd bod y ddwy LAN yn pori’n iawn

Gall y ddwy rwydwaith bori’r rhyngrwyd tra bod darganfod rhyngddynt yn methu. Efallai na fydd ffôn ar y prif Wi-Fi yn dod o hyd i deledu y tu ôl i’r porth VPN, oherwydd nid yw darganfod multicast yn croesi ffin llwybro yn ddiofyn. Os yw hynny’n bwysig, mae angen adlewyrchydd neu dopoleg wahanol arnoch. Nid yw llwyddiant pori yn dystiolaeth o ddarganfod lleol.

Cadwch ryngwyneb rheoli’r ail lwybrydd yn gyraeddadwy o lwybr awdurdodedig heb ei gyhoeddi ar y WAN. Cadwch ffurfweddiad y ddau borth cyn i chi newid llwybrau.

Profwch DNS ac IPv6 yn ogystal â’r cyfeiriad allanfa gweladwy. Gall twnnel sy’n cario IPv4 yn unig ollwng y teulu arall. Ysgrifennwch y ddau ganlyniad yn y cofnod newid.

Beth mae’r ail borth yn ei roi i chi mewn gwirionedd

Mae’n gwneud cwmpas yn weladwy. Gallwch bwyntio at un ddyfais a dweud pa rwydwaith sy’n dilyn y twnnel, ac mae’r aelwyd yn cadw ei llwybr arferol. Mae’r eglurder hwnnw’n werth y caledwedd ychwanegol i lawer o gartrefi.

Mae’n dal yn ddyfais arall i’w chynnal gyda chrednetau, firmware a phroses adfer. Penderfynwch a ddylai dyfeisiau i lawr stopio neu fynd yn ôl pan fetha’r VPN, a phrofwch yr ymddygiad hwnnw. Nid yw’r porth yn tynnu’r gwaith gweithredol; mae’n ei grynhoi. Mae rysáit cleient pfSense WireGuard yn cwmpasu ochr y twnnel ar un platfform cyffredin.