Router VPN: LAN και WAN — τι να καταγράψετε πριν αγοράσετε

Αντιμετωπίστε μια ετικέτα «έτοιμο για VPN» ως ένα χαρακτηριστικό σε ένα μηχάνημα που πρέπει επίσης να δρομολογεί, να τμηματοποιεί και να μεταβαίνει σε εφεδρεία, αφού η ετικέτα δεν λέει τίποτα για το πόσα ξεχωριστά δίκτυα μπορεί να φιλοξενήσει η συσκευή. Ξεκινήστε γράφοντας ένα μητρώο δυνατοτήτων για το ακριβές μοντέλο και το firmware και μετά συγκρίνετε αυτό το μητρώο με τις ροές που χρειάζεται ο χώρος. Οι σελίδες μάρκετινγκ απαριθμούν υποδοχές· σπάνια απαριθμούν ιδιότητα μέλους VLAN, πολιτική εφεδρείας ή εύρος σήραγγας. Το μητρώο παίρνει περίπου είκοσι λεπτά και λύνει τις περισσότερες διαφωνίες αγοράς πριν φτάσει το υλικό.

Καρφιτσώστε το ακριβές μηχάνημα πριν από οτιδήποτε άλλο

Τα ονόματα μοντέλων ταξιδεύουν ανάμεσα σε γενιές firmware και το ίδιο περίβλημα μπορεί να παραδοθεί με διαφορετικό οδηγό διακόπτη ανάλογα με την έκδοση. Διαβάστε την ταυτότητα της πλακέτας από την ίδια τη συσκευή και όχι από το κουτί, ώστε κάθε μεταγενέστερη δήλωση να δένεται με κάτι που μπορείτε να αναπαράγετε. Μια εντολή καλύπτει μοντέλο, όνομα πλακέτας και έκδοση firmware στο OpenWrt, και οι αντίστοιχες οθόνες υπάρχουν στα περισσότερα επαγγελματικά firmware.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Γράψτε αυτές τις συμβολοσειρές στο μητρώο, ποτέ συντομευμένες. Έπειτα διαχωρίστε την συνηθισμένη εργασία δρομολόγησης από την εργασία σήραγγας. Μια συσκευή που προωθεί καλά τα πακέτα μπορεί ακόμη να αρνηθεί να τερματίσει μια σήραγγα, και μια συσκευή που τερματίζει μια σήραγγα μπορεί να μην έχει τρόπο να κρατήσει δύο τοπικά δίκτυα χωριστά. Αν τα αντιμετωπίσετε ως μία απαίτηση, η ασυμφωνία κρύβεται μέχρι η μονάδα να έχει ήδη τοποθετηθεί σε ράφι, ρυθμιστεί και εμπιστευτεί κατά το ήμισυ.

Καταγράψτε τη δομή LAN, όχι το πλήθος θυρών

Τέσσερις υποδοχές συνήθως σημαίνουν έναν διακόπτη, και ένας διακόπτης σημαίνει έναν τομέα εκπομπής εκτός αν έχουν ρυθμιστεί VLAN. Αυτό είναι εντάξει για ένα επίπεδο οικιακό δίκτυο και λάθος για έναν χώρο που θέλει τμήμα επισκεπτών, τμήμα διαχείρισης και απομονωμένο τμήμα καμερών στο ίδιο μηχάνημα. Καταγράψτε ποιες θύρες ανήκουν σε ποιο VLAN, ποια VLAN φτάνουν στον επεξεργαστή και ποιες διεπαφές φέρουν διευθύνσεις.

Όπου το firmware προσφέρει VLAN, η λίστα διεπαφών καθορίζει πόσες ξεχωριστές πολιτικές μπορείτε να γράψετε. Ένα VLAN που ορίζεται στον διακόπτη αλλά δεν ανατίθεται ποτέ ως διεπαφή δεν έχει διεύθυνση και δεν έχει ζώνη τείχους προστασίας, άρα δεν μπορεί να επιβάλει τίποτα από μόνο του.

Διαβάστε την κατάσταση του διακόπτη αντί να εμπιστεύεστε το μενού. Σε παλαιότερους στόχους OpenWrt το εργαλείο διακόπτη εκτυπώνει τις ρυθμισμένες συσκευές, και σε στόχους DSA τα εργαλεία γέφυρας αναφέρουν τα ίδια γεγονότα ανά θύρα, γι' αυτό η έκδοση firmware ανήκει στο μητρώο.

Καταγράψτε τη συμπεριφορά WAN και εφεδρείας

Η μέθοδος πρόσβασης, η κυριότητα διεύθυνσης και η σειρά εφεδρείας ανήκουν σε μία γραμμή ανά ζεύξη ανόδου, γιατί μια σήραγγα που επιβιώνει από αλλαγή WAN εξαρτάται και από τα τρία. Μια συνεδρία PPPoE επανασυνδέεται με νέα διεύθυνση και χάνει τη σήραγγα μαζί της, ενώ μια ζεύξη DHCP που κρατά τη μίσθωσή της μπορεί να μην το κάνει.

Η εφεδρεία χρειάζεται επίσης απόφαση πολιτικής. Το να στέλνεις όλη την κίνηση στη δευτερεύουσα ζεύξη είναι εύκολο· το να κρατάς τη σήραγγα στην κύρια ενώ η συνηθισμένη κίνηση ιστού χρησιμοποιεί τη δευτερεύουσα απαιτεί δρομολόγηση πολιτικής, και δεν τη προσφέρει κάθε firmware. Σημειώστε αν η σήραγγα είναι δεσμευμένη σε μία ζεύξη ανόδου και τι κάνει η συσκευή στις εγκατεστημένες συνεδρίες όταν αυτή η ζεύξη εξαφανιστεί. Κρατήστε τον πίνακα δρομολόγησης ως απόδειξη, όχι το πλαίσιο ελέγχου εφεδρείας.

Δοκιμάστε μία επιτρεπόμενη και μία απορριπτόμενη ροή

Το μητρώο αξίζει να κρατηθεί μόνο αν η συσκευή μπορεί να γίνει αποδεκτή απέναντί του. Διαλέξτε μία ροή που πρέπει να δουλέψει, μία που δεν πρέπει, και τρέξτε και τις δύο από πελάτη στο σχετικό τμήμα. Μια σήραγγα που μεταφέρει κάθε υποδίκτυο είναι αποτυχία όταν η απαίτηση ήταν ένα υποδίκτυο.

Έπειτα επιβεβαιώστε την άρνηση, αφού μια επιτρεπτική προεπιλογή είναι η συνήθης έκπληξη. Το τμήμα επισκεπτών δεν πρέπει να φτάνει στη διεύθυνση διαχείρισης και ο έλεγχος πρέπει να δείχνει λήξη χρόνου ή άρνηση, όχι σελίδα σύνδεσης.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Αν η επιτρεπόμενη ροή δουλεύει και η απορριπτόμενη δουλεύει επίσης, λείπει η τμηματοποίηση ακόμη και αν τα μενού υποδείκνυαν το αντίθετο. Αν αποτύχουν και οι δύο, το εύρος σήραγγας ή η διαδρομή επιστροφής είναι λάθος, και το μητρώο WAN εξηγεί συνήθως ποιο. Κρατήστε τα δύο αποτελέσματα μαζί με το μητρώο δυνατοτήτων ώστε ο επόμενος ελεγκτής να βλέπει τι έγινε αποδεκτό, σε ποιο firmware και με ποια ημερομηνία.