Προσθέστε VPN τοποθεσίας δίπλα στον router του ISP χωρίς να κόψετε κλήσεις

Οι περισσότερες μικρές τοποθεσίες έχουν ήδη μια συσκευή που κάνει internet, DHCP και τη γραμμή φωνής, και αυτή η συσκευή δεν θα τρέξει το tunnel της τοποθεσίας σας. Η προσθήκη δεύτερης πύλης για την ιδιωτική διαδρομή δουλεύει, αρκεί να ξεκαθαρίσετε ποιος κατέχει κάθε διαδρομή πριν αγγίξετε καλώδιο. Ο πραγματικός κίνδυνος δεν είναι το tunnel, αλλά η σιωπηλή αλλαγή της συσκευής που κρατά τα τηλέφωνα καταχωρισμένα. Κάντε τους πέντε ελέγχους με σειρά και σταματήστε όπου ένας αποτύχει.

Γράψτε τους ρόλους που ήδη δουλεύουν

Καταγράψτε την προεπιλεγμένη πύλη, τον διακομιστή DHCP, τον resolver και τη συσκευή που κρατά την καταχώριση φωνής του παρόχου. Σε αυτό το παράδειγμα ο router του ISP είναι 10.50.0.1, η νέα πύλη θα είναι 10.50.0.2 και η απομακρυσμένη τοποθεσία 10.60.0.0/24. Τίποτα σε αυτό το σχέδιο δεν αλλάζει τους τρεις πρώτους ρόλους, και ακριβώς αυτό είναι το νόημα. Μετά επιβεβαιώστε ότι η δεύτερη συσκευή μπορεί πράγματι να τερματίσει το tunnel: ελέγξτε το πρωτόκολλο, την αναμενόμενη ρυθμαπόδοση και αν λαμβάνει ενημερώσεις υλικολογισμικού ή πακέτων. Μια συσκευή με λογότυπο VPN και χωρίς δρόμο ενημερώσεων είναι βάρος, όχι προσθήκη.

Αν δεν μπορείτε να πείτε ποιος κατέχει την υπηρεσία φωνής, σταματήστε. Η αλλαγή του router που κρατά καταχώριση χωρίς σχέδιο επαναφοράς μετατρέπει ένα έργο VPN σε διακοπή τηλεφώνου.

Δώστε στη νέα πύλη μία διεύθυνση και μία δουλειά

Δεσμεύστε τη διεύθυνση LAN έξω από τη δεξαμενή DHCP ώστε να μη μετακινηθεί μετά από επανεκκίνηση, και μη της δώσετε δική της προεπιλεγμένη διαδρομή εκτός αν θέλετε να γίνει διαδρομή internet. Η δουλειά της είναι να κρατά το tunnel και να απαντά για τα απομακρυσμένα προθέματα. Στους hosts του LAN που πρέπει να φτάσουν την απομακρυσμένη τοποθεσία, αποδείξτε ποια διαδρομή παίρνουν τώρα και ποια θέλετε μετά την αλλαγή· οι ίδιες δύο εντολές πριν και μετά είναι η φθηνότερη απόδειξη.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Αν η αναζήτηση επιστρέφει τον router του ISP και το traceroute πεθαίνει στην άκρη του internet, ο host δεν έχει ακόμη απομακρυσμένη διαδρομή, κάτι αναμενόμενο. Αν επιστρέφει κάτι απρόσμενο, λύστε το πρώτα, γιατί κάθε επόμενο βήμα προϋποθέτει αυτή τη βάση.

Διαλέξτε ποιος κατέχει τη διαδρομή του απομακρυσμένου προθέματος

Η επιλογή A είναι ο router του ISP: κρατά στατική διαδρομή για το 10.60.0.0/24 προς την πύλη και κάθε host ακολουθεί την προεπιλεγμένη πύλη του όπως πριν. Η επιλογή B είναι ανά host: μόνο τα μηχανήματα που χρειάζονται την απομακρυσμένη τοποθεσία παίρνουν ρητή διαδρομή μέσω 10.50.0.2, και όλα τα άλλα μένουν ανέγγιχτα. Η A είναι καθαρότερη για πολλούς hosts, αλλά συνήθως απαιτεί ο router του παρόχου να δεχτεί στατική διαδρομή, κάτι που μερικοί δεν κάνουν. Η B δεν χρειάζεται συνεργασία του παρόχου, αλλά αφήνει σε εσάς τη συντήρηση της διαμόρφωσης των hosts, οπότε ταιριάζει σε μικρό εγκεκριμένο σύνολο μηχανημάτων.

Και στις δύο περιπτώσεις πρέπει να υπάρχει η αντίστροφη κατεύθυνση. Αν μια απομακρυσμένη απάντηση φτάσει στην πύλη και η πύλη τη στείλει ευθεία σε host του LAN, η κίνηση παρακάμπτει την κατάσταση του firewall που κρατούσε ο router του ISP στην πορεία προς τα έξω. Όταν η πύλη δεν είναι ο προεπιλεγμένος router του LAN, αυτή η ασυμμετρία είναι απόφαση σχεδίασης, όχι σφάλμα που αγνοείται.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Κάντε την εγγραφή μόνιμη μέσω του ιδιοκτήτη διαμόρφωσης του host, όχι μέσω σεναρίου σύνδεσης. Μια διαδρομή που υπάρχει μόνο αφού συνδεθεί κάποιος θα αποτύχει την πρώτη φορά που το μηχάνημα θα επανεκκινήσει για άσχετο λόγο.

Εξασφαλίστε προσβάσιμο σημείο εισόδου

Η πύλη χρειάζεται διεύθυνση που μπορεί να φτάσει η απομακρυσμένη τοποθεσία. Πίσω από τον router του ISP αυτό σημαίνει προώθηση θύρας ή εγγραφή DMZ, και τα δύο εξαρτώνται από το αν ο πάροχος παραδίδει πράγματι την κίνηση. Μια τοπική προώθηση δεν ξεπερνά το NAT φορέα στην πλευρά του παρόχου. Αν ο πάροχος δεν δώσει προσβάσιμο σημείο, αντιστρέψτε την κατεύθυνση: αφήστε τις δύο τοποθεσίες να ξεκινούν προς έναν κόμβο που ελέγχετε. Είναι έγκυρη σχεδίαση, αλλά προσθέτει τρίτη εξάρτηση για προώθηση, εμπιστοσύνη και διαθεσιμότητα, και το δυναμικό DNS δεν την αντικαθιστά.

Επιβεβαιώστε την προώθηση με καταγραφή στην πύλη, όχι με ιστοσελίδα που σαρώνει θύρες. Οι σαρωτές αναφέρουν τη θύρα κλειστή μέχρι να δεθεί ο ακροατής, και μια προώθηση που δεν παραδίδει ποτέ κίνηση φαίνεται από έξω ίδια με κλειστή θύρα.

Δεχτείτε την ιδιωτική υπηρεσία και τη γραμμή φωνής μαζί

Δοκιμάστε την προβλεπόμενη λειτουργία από host του LAN, με ιδιωτικό DNS και τα δικά του διαπιστευτήρια της εφαρμογής. Ένα tunnel με δρομολόγηση δεν κάνει την απομακρυσμένη περιήγηση να μοιάζει με τοπικό τμήμα Ethernet, οπότε η ανακάλυψη και η επίλυση ονομάτων χρειάζονται δικές τους ρυθμίσεις.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Μετά επιβεβαιώστε ότι η συνηθισμένη πρόσβαση στο internet δουλεύει ακόμη από τον ίδιο host και ότι τα τηλέφωνα είναι ακόμη καταχωρισμένα· αυτοί οι δύο έλεγχοι πιάνουν μια τυχαία αλλαγή της προεπιλεγμένης διαδρομής, τον συνηθέστερο τρόπο που αυτό το έργο χαλάει κάτι που δεν σκόπευε να αγγίξει. Κλείστε με γραπτή σημείωση ανάκτησης: ποια συσκευή κρατά ποιον ρόλο, τις δεσμευμένες διευθύνσεις και πώς αφαιρείται η διαδρομή του απομακρυσμένου προθέματος σε ένα βήμα. Μια ιδιωτική διαδρομή που αποσύρεται καθαρά αξίζει περισσότερο από μία που απλώς δουλεύει σήμερα.