Laboratorio doméstico con túnel dividido: enruta lo que necesitas, no todo

El consejo de que un laboratorio doméstico necesita un túnel completo suele venir de un tutorial que tenía uno, no de un requisito. El túnel dividido no es la versión comprometida de una VPN correcta; es la versión cuya tabla de rutas puedes explicar. Un laboratorio con cinco servicios y una interfaz de gestión no necesita que cada paquete que sale de casa atraviese un túnel. Lo que necesita es un inventario y una ruta para cada elemento de ese inventario.

El mito: el túnel dividido es un compromiso

El mito sobrevive porque un túnel completo es más fácil de configurar una vez y más difícil de depurar después. Ese intercambio es razonable para un portátil en Wi-Fi pública y equivocado para un rack en el sótano.

También oculta un segundo supuesto: que el direccionamiento del laboratorio no tiene nada en común con la red desde la que te conectas.

Haz inventario de los recursos antes de las rutas

Anota cada subred del laboratorio, el servicio que vive allí, el nombre con el que la resuelves y quién tiene permiso para llegar a ella; las notas de reenvío de tu puerta de enlace describen el camino de vuelta contra el que planificas. Añade los rangos de contenedores y los rangos de LAN que el cliente remoto quizá ya use, porque el solapamiento es el fallo que este inventario evita. Una ruta que cubre cada dirección privada chocará con una red doméstica tarde o temprano. El inventario es también el plan de pruebas, por eso vale la pena hacerlo antes de la configuración y no después.

Asigna a cada recurso una ruta: por el túnel, directa o denegada. Un recurso sin ruta asignada es el que genera después la pregunta de soporte confusa.

Cinco filas y una columna de decisiones superan a una tabla de rutas que nadie puede leer.

La puerta de enlace necesita un camino de vuelta

El reenvío en la puerta de enlace es solo la mitad. El laboratorio necesita una ruta de vuelta al grupo de clientes, o una disposición de traducción admitida que haga posible el retorno. Si las respuestas no encuentran al cliente, el túnel parece conectado y cada petición agota el tiempo; eso es un síntoma de enrutamiento, no un fallo de la VPN. Verifica el camino de vuelta como parte del diseño, no como un paso de resolución de problemas.

Un grupo de clientes que se solapa con el direccionamiento propio del laboratorio es la otra mitad de este problema, y falla exactamente igual.

Corrige el plan, no los síntomas, cuando los dos rangos chocan.

Los papeles de gestión e internet son separados

Decide si solo el tráfico del laboratorio usa el túnel o si también se convierte en una salida a internet. No añadas una ruta por defecto solo porque un tutorial usó una, porque esa decisión cambia adónde va cada consulta DNS y cada comprobación de actualizaciones. Conserva un camino exterior hasta el propio punto final de la VPN, o el túnel intentará llevar su propia conexión exterior. Mantén el acceso de gestión estrecho y alcanzable mediante un método de recuperación aprobado.

Se puede elegir un DNS privado para los nombres del laboratorio sin suponer que cada consulta pública necesita el mismo resolutor. Eso es una decisión de resolutor, no una decisión de ruta.

Mantenerlos separados es lo que hace que los modos de fallo se distingan después.

Prueba desde fuera, no desde la LAN

Usa una conexión externa autorizada en lugar de una prueba desde la misma LAN, porque una prueba desde la misma LAN puede ocultar por completo una ruta de vuelta ausente. Verifica una dirección del laboratorio, su nombre de host privado, un destino directo previsto y el comportamiento de fallo requerido. El caso de fallo importa tanto como el de éxito: un recurso que no debería ser alcanzable debe ser realmente inalcanzable. Registra los cuatro resultados antes de dar el diseño por terminado.

Después guarda la configuración de rutas y DNS junto al inventario, con un propietario nombrado. Cuando el laboratorio gane otra subred, actualiza ambos y vuelve a probar.

Una ruta sin explicación que se solapa con una red doméstica existente es el resultado por defecto de saltarse ese paso.

El diseño terminado es pequeño, documentado y aburrido, que es exactamente lo que un laboratorio quiere de su red. La versión interesante es la que se rompe mientras estás fuera de casa.