Anden router som VPN-gateway: hvad den ikke løser

At sætte en ekstra router bag den primære er en ren måde at give nogle få enheder en anden udgang. Det er også her, folk forventer mere isolering, end enheden leverer. Hovednettet beholder sin sædvanlige vej, og det nedstrøms netværk følger den anden routers politik. Hvad der sker mellem dem, og hvad der sker, når tunnelen svigter, er den del, der er værd at planlægge.

Opsætningen virker. Myterne handler om, hvad den beskytter. Det er stadig et nyttigt design; det er bare ikke en sikkerhedsgrænse i sig selv.

Myte: den anden router isolerer tunnelen fuldstændigt

Enheder bag den anden gateway følger dens politik. Enheder på hovednettet arver ikke den tunnel, og det er meningen. Men den anden router har stadig en opstrøms vej gennem den første, og den vej er et forhold, du skal styre.

Den anden router skal også bruge en VPN-klientprofil. En funktion, der kun accepterer indgående VPN-forbindelser, opretter ikke en udgående tunnel til en udbyder. Kontroller firmwarens klientunderstøttelse, før du køber hardwaren.

Giv det nedstrøms netværk et subnet, der ikke overlapper. At kopiere et eksempelområde uden at kontrollere eksisterende netværk er en pålidelig måde at skabe et rutehuspuslespil på.

Myte: dobbelt NAT er blot VPN’ens indkapsling

To routed gateways kan skabe dobbelt NAT, og det er adskilt fra VPN’ens egen indkapsling. Almindelig udgående trafik virker normalt. Indgående tjenesteadgang kræver et bevidst design, ofte en portvideresendelse på begge enheder eller en helt anden tilgang.

Det ekstra oversættelseslag gør også logfiler sværere at læse. En kildeadresse i hovedrouterens logfil kan tilhøre den anden router i stedet for den enhed, du fejlsporer. Det er værd at vide, før du jager en fantomenhed.

Skriv adresseplanen ned, før du tænder for noget.

Myte: opdagelse krydser, fordi begge LAN’er browser fint

Begge netværk kan browse internettet, mens opdagelse mellem dem fejler. En telefon på det primære Wi-Fi finder måske ikke et tv bag VPN-gatewayen, fordi multicast-opdagelse som standard ikke krydser en routet grænse. Hvis det betyder noget, har du brug for en reflektor eller en anden topologi. Vellykket browsing er ikke bevis på lokal opdagelse.

Hold den anden routers administrationsgrænseflade tilgængelig fra en autoriseret vej uden at offentliggøre den på WAN. Gem begge gatewayes konfiguration, før du ændrer ruter.

Test DNS og IPv6 samt den synlige udgangsadresse. En tunnel, der kun bærer IPv4, kan lække den anden familie. Skriv begge resultater i ændringsloggen.

Hvad den anden gateway faktisk giver dig

Den gør omfanget synligt. Du kan pege på en enhed og sige, hvilket netværk der følger tunnelen, og husstanden beholder sin sædvanlige vej. Den klarhed er den ekstra hardware værd for mange hjem.

Det er stadig endnu en enhed, der skal vedligeholdes, med legitimationsoplysninger, firmware og en gendannelsesproces. Beslut, om nedstrøms enheder skal stoppe eller falde tilbage, når VPN’en svigter, og test den adfærd. Gatewayen fjerner ikke det operationelle arbejde; den koncentrerer det. Opskriften til pfSense WireGuard-klienten dækker tunnelsiden på én almindelig platform.