VPN-routerens LAN og WAN: hvad du skal notere, før du køber

Behandl et VPN-klar-mærkat som én egenskab ved en boks, der også skal route, segmentere og skifte ved fejl, fordi mærkatet intet siger om, hvor mange separate netværk enheden kan rumme. Begynd med at skrive en egenskabsprotokol for den præcise model og firmware, og sammenlign den derefter med de flows, stedet har brug for. Markedsføringssider lister stik; de lister sjældent VLAN-medlemskab, failover-politik eller tunnelomfang. Protokollen tager cirka tyve minutter og afgør de fleste købsdiskussioner, før hardwaren ankommer.

Fastlæg den præcise boks før alt andet

Modelnavne vandrer på tværs af firmwaregenerationer, og samme kabinet kan leveres med en anden switchdriver afhængigt af udgivelsen. Læs boardidentiteten fra enheden selv i stedet for fra kassen, så hver senere påstand er knyttet til noget, du kan genskabe. Én kommando dækker model, boardnavn og firmwareudgivelse på OpenWrt, og de tilsvarende skærme findes i de fleste virksomhedsfirmware.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Skriv de strenge ind i protokollen, aldrig forkortet. Adskil derefter den almindelige routingopgave fra tunnelopgaven. En enhed, der videresender pakker godt, kan stadig nægte at afslutte en tunnel, og en enhed, der afslutter en tunnel, har måske ingen måde at holde to lokale netværk adskilt. Behandles de som ét krav, skjules uoverensstemmelsen, indtil enheden allerede er monteret, konfigureret og halvt betroet.

Noter LAN-strukturen, ikke portantallet

Fire stik betyder normalt én switch, og en switch betyder ét broadcastdomæne, medmindre VLAN'er er konfigureret. Det er fint til et fladt hjemmenetværk og forkert til et sted, der vil have et gæstesegment, et administrationssegment og et isoleret kamerasegment på samme boks. Noter, hvilke porte der hører til hvilket VLAN, hvilke VLAN'er der når CPU'en, og hvilke interface der bærer adresser.

Hvor firmwaren tilbyder VLAN'er, afgør interfacelisten, hvor mange forskellige politikker du kan skrive. Et VLAN, der er defineret på switchen, men aldrig tildelt som interface, har ingen adresse og ingen firewallzone, så det kan ikke håndhæve noget alene.

Læs switchtilstanden i stedet for at stole på menuen. På ældre OpenWrt-mål udskriver switchværktøjet de konfigurerede enheder, og på DSA-mål rapporterer broværktøjerne de samme fakta per port, hvorfor firmwareudgivelsen hører i protokollen.

Skriv WAN- og failover-adfærden ned

Adgangsmetode, adresseejerskab og failover-rækkefølge hører på én linje per uplink, fordi en tunnel, der overlever en WAN-ændring, afhænger af alle tre. En PPPoE-session genopretter forbindelse med en ny adresse og taber tunnelen med den, mens en DHCP-uplink, der beholder sin lease, måske ikke gør.

Failover kræver også en politisk beslutning. At sende al trafik til backupforbindelsen er nemt; at holde tunnelen på den primære, mens almindelig webtrafik bruger backup, kræver policy routing, og ikke al firmware udbyder det. Noter, om tunnelen er bundet til én uplink, og hvad enheden gør ved etablerede sessioner, når den uplink forsvinder. Gem routingtabellen som bevis, ikke failover-afkrydsningsfeltet.

Test ét tilladt flow og ét afvist flow

Protokollen er kun værd at beholde, hvis enheden kan accepteres imod den. Vælg ét flow, der skal virke, ét der ikke må, og kør begge fra en klient på det pågældende segment. En tunnel, der bærer hvert subnet, er en fejl, når kravet var ét subnet.

Bekræft derefter afvisningen, da en eftergivende standard er den sædvanlige overraskelse. Gæstesegmentet må ikke nå administrationsadressen, og kontrollen bør vise en timeout eller afvisning frem for en loginside.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Hvis det tilladte flow virker, og det afviste flow også virker, mangler segmenteringen, selv om menuerne antydede andet. Hvis begge fejler, er tunnelomfanget eller returvejen forkert, og WAN-protokollen forklarer normalt hvilken. Opbevar de to resultater sammen med egenskabsprotokollen, så den næste bedømmer ser, hvad der blev accepteret, på hvilken firmware og på hvilken dato.