Dua enkursigilo kiel VPN-pordego: kion ĝi ne solvas
Dua enkursigilo donas al elektitaj aparatoj alian eliron. Ĝi ne forigas duoblan NAT, ne riparas lokan malkovron kaj ne prizorgas sin mem post kiam la tunelo malsukcesas.
Meti duan enkursigilon malantaŭ la ĉefa estas pura maniero doni al kelkaj aparatoj alian eliron. Ĝi ankaŭ estas la loko, kie homoj atendas pli da izoliteco ol la aparato liveras. La ĉefa reto konservas sian ordinaran vojon, kaj la malsupra reto sekvas la politikon de la dua enkursigilo. Kio okazas inter ili, kaj kio okazas kiam la tunelo malsukcesas, estas la parto inda je planado.
La agordo funkcias. La mitoj temas pri kion ĝi protektas. Ĝi ankoraŭ estas utila dezajno; ĝi simple ne estas sekureca limo per si mem.
Mito: la dua enkursigilo tute izolas la tunelon
Aparatoj malantaŭ la dua pordego sekvas ĝian politikon. Aparatoj en la ĉefa reto ne heredas tiun tunelon, kaj tio estas la celo. Sed la dua enkursigilo ankoraŭ havas suprenan vojon tra la unua, kaj tiu vojo estas rilato, kiun vi devas administri.
La dua enkursigilo ankaŭ bezonas VPN-klientan profilon. Funkcio, kiu akceptas nur envenantajn VPN-konektojn, ne kreas elirantan tunelon al provizanto. Kontrolu la klientan subtenon de la firmvaro antaŭ ol aĉeti la aparataron.
Donu al la malsupra reto subreton, kiu ne interkovriĝas. Kopii specimenan aron sen kontroli ekzistantajn retojn estas fidinda maniero krei enkursigan puzlon.
Mito: duobla NAT estas nur la enkapsuligo de la VPN
Du enkursigitaj pordegoj povas krei duoblan NAT, kaj tio estas aparta de la propra enkapsuligo de la VPN. Ordinara eliranta trafiko kutime funkcias. Envenanta serva aliro bezonas intencan dezajnon, ofte pordoreadreson sur ambaŭ aparatoj aŭ tute alian aliron.
La aldona traduka tavolo ankaŭ malfaciligas legi protokolojn. Fonta adreso en la protokolo de la ĉefa enkursigilo povas aparteni al la dua enkursigilo anstataŭ al la aparato, kiun vi sencimigas. Tion indas scii antaŭ ol ĉasi fantoman aparaton.
Skribu la adresan planon antaŭ ol enŝalti ion ajn.
Mito: malkovro trapasas ĉar ambaŭ LAN-oj bone retumas
Ambaŭ retoj povas retumi la interreton dum malkovro inter ili malsukcesas. Telefono sur la ĉefa Wi-Fi eble ne trovos televidilon malantaŭ la VPN-pordego, ĉar multicast-malkovro defaŭlte ne trapasas enkursigitan limon. Se tio gravas, vi bezonas reflektilon aŭ alian topologion. Sukceso en retumado ne estas pruvo de loka malkovro.
Tenu la administran interfacon de la dua enkursigilo atingebla el rajtigita vojo sen publikigi ĝin en la WAN. Konservu la agordon de ambaŭ pordegoj antaŭ ol ŝanĝi vojojn.
Testu DNS kaj IPv6 same kiel la videblan eliran adreson. Tunelo, kiu portas nur IPv4, povas liki la alian familion. Skribu ambaŭ rezultojn en la ŝanĝprotokolon.
Kion la dua pordego vere donas al vi
Ĝi faras la amplekson videbla. Vi povas montri unu aparaton kaj diri, kiu reto sekvas la tunelon, kaj la domanaro konservas sian ordinaran vojon. Tiu klareco indas la plian aparataron por multaj hejmoj.
Ĝi ankoraŭ estas alia prizorgata aparato kun akreditaĵoj, firmvaro kaj restaŭra procezo. Decidu, ĉu malsupraj aparatoj devus halti aŭ retroiri kiam la VPN malsukcesas, kaj testu tiun konduton. La pordego ne forigas la operacian laboron; ĝi koncentras ĝin. La recepto por pfSense WireGuard-kliento kovras la tunelan flankon sur unu ofta platformo.