VPN-enkursigilo: LAN kaj WAN — kion noti antaŭ ol aĉeti
Etikedo VPN diras nenion pri VLAN-oj, WAN-failover aŭ tunelaj roloj. Skribu la precizajn kapablojn por la modelo kaj firmvaro, kiujn vi intencas uzi.
Traktu etikedon «preta por VPN» kiel unu trajton de skatolo, kiu ankaŭ devas enkursigi, segmenti kaj ŝalti ĉe paneo, ĉar la etikedo diras nenion pri kiom da apartaj retoj la aparato povas teni. Komencu per kapabla protokolo por la preciza modelo kaj firmvaro, poste komparu tiun protokolon kun la fluoj, kiujn la ejo bezonas. Merkatikaj paĝoj listigas ingojn; ili malofte listigas VLAN-membrecon, panean politikon aŭ tunelan amplekson. La protokolo daŭras proksimume dudek minutojn kaj solvas la plejmulton de aĉetaj disputoj antaŭ ol la aparataro alvenas.
Fiksu la precizan skatolon antaŭ ĉio alia
Modelaj nomoj vojaĝas tra firmvaraj generacioj, kaj la sama ujo povas liveriĝi kun malsama ŝaltila pelilo laŭ la eldono. Legu la platidentecon el la aparato mem anstataŭ el la kartono, por ke ĉiu posta aserto ligiĝu al io, kion vi povas reprodukti. Unu komando kovras modelon, platnomon kaj firmvaran eldonon ĉe OpenWrt, kaj la ekvivalentaj ekranoj ekzistas en la plejmulto de komercaj firmvaroj.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseSkribu tiujn ĉenojn en la protokolon, neniam mallongigitajn. Poste apartigu la ordinaran enkursigan taskon de la tunela tasko. Aparato, kiu bone plusendas pakaĵojn, povas tamen rifuzi fini tunelon, kaj aparato, kiu finas tunelon, eble havas neniun rimedon teni du lokajn retojn aparte. Se oni traktas ilin kiel unu postulon, la malkongruo kaŝiĝas ĝis la unuo jam estas raka, agordita kaj duone fidita.
Notu la LAN-strukturon, ne la ingan nombron
Kvar ingoj kutime signifas unu ŝaltilon, kaj ŝaltilo signifas unu dissendan domajnon krom se VLAN-oj estas agorditaj. Tio taŭgas por plata hejma reto kaj maltaŭgas por ejo, kiu volas gastan segmenton, administran segmenton kaj izolitan kameras segmenton sur la sama skatolo. Notu, kiuj pordoj apartenas al kiu VLAN, kiuj VLAN-oj atingas la procesoron, kaj kiuj interfacoj portas adresojn.
Tie, kie la firmvaro ofertas VLAN-ojn, la interfaca listo decidas kiom da apartaj politikoj vi povas skribi. VLAN, difinita sur la ŝaltilo sed neniam asignita kiel interfaco, havas neniun adreson kaj neniun fajroŝirman zonon, do ĝi povas trudi nenion per si mem.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Legu la ŝaltilan staton anstataŭ fidi la menuon. Sur pli malnovaj OpenWrt-celoj la ŝaltila ilo presas la agorditajn aparatojn, kaj sur DSA-celoj la pontaj iloj raportas la samajn faktojn por ĉiu pordo, tial la firmvara eldono apartenas al la protokolo.
Skribu la WAN- kaj paneajn kondutojn
Alirmetodo, adresa posedo kaj panea ordo apartenas al unu linio por ĉiu suprenligo, ĉar tunelo, kiu postvivas WAN-ŝanĝon, dependas de ĉiuj tri. PPPoE-sesio rekonektiĝas kun nova adreso kaj faligas la tunelon kun ĝi, dum DHCP-suprenligo, kiu konservas sian luon, eble ne faras tion.
Paneo ankaŭ bezonas politikan decidon. Sendi la tutan trafikon al la rezerva ligo estas facila; teni la tunelon sur la ĉefa dum ordinara reta trafiko uzas la rezervan postulas politikan enkursigon, kaj ne ĉiu firmvaro elmontras ĝin. Notu, ĉu la tunelo estas ligita al unu suprenligo, kaj kion la aparato faras al establitaj sesioj kiam tiu ligo malaperas. Konservu la enkursigan tabelon kiel pruvon, ne la panean markobutonon.
Testu unu permesitan fluon kaj unu malpermesitan fluon
La protokolo indas konservi nur se la aparato povas esti akceptita laŭ ĝi. Elektu unu fluon, kiu devas funkcii, unu, kiu ne rajtas, kaj rulu ambaŭ el kliento sur la koncerna segmento. Tunelo, kiu portas ĉiun subreton, estas malsukceso kiam la postulo estis unu subreto.
Poste konfirmu la malpermeson, ĉar permesema defaŭlto estas la kutima surprizo. La gasta segmento ne rajtas atingi la administran adreson, kaj la kontrolo devus montri tempolimon aŭ rifuzon anstataŭ ensalutan paĝon.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Se la permesita fluo funkcias kaj la malpermesita ankaŭ funkcias, segmentado mankas eĉ se la menuoj sugestis alie. Se ambaŭ malsukcesas, la tunela amplekso aŭ la revena vojo estas malĝusta, kaj la WAN-protokolo kutime klarigas kiu. Konservu la du rezultojn kun la kapabla protokolo, por ke la sekva revizianto vidu, kio estis akceptita, en kiu firmvaro kaj en kiu dato.