Router VPN: LAN y WAN, qué anotar antes de comprar
Una etiqueta VPN no dice nada sobre VLAN, conmutación por error de WAN ni roles de túnel. Anote las capacidades exactas del modelo y el firmware que piensa desplegar.
Trate la etiqueta de listo para VPN como una función más de un equipo que también debe enrutar, segmentar y conmutar por error, ya que la etiqueta no dice nada sobre cuántas redes separadas puede alojar el dispositivo. Empiece por escribir un registro de capacidades para el modelo y el firmware exactos y luego compare ese registro con los flujos que necesita el sitio. Las páginas de marketing enumeran tomas; rara vez enumeran pertenencia a VLAN, política de conmutación por error o alcance del túnel. El registro lleva unos veinte minutos y resuelve la mayoría de las discusiones de compra antes de que llegue el hardware.
Fije el equipo exacto antes que nada
Los nombres de modelo viajan entre generaciones de firmware, y la misma carcasa puede enviarse con un controlador de conmutador distinto según la versión. Lea la identidad de la placa en el propio dispositivo y no en la caja, para que cada afirmación posterior quede atada a algo que pueda reproducir. Un solo comando cubre modelo, nombre de placa y versión de firmware en OpenWrt, y las pantallas equivalentes existen en la mayoría de los firmwares empresariales.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseEscriba esas cadenas en el registro, nunca abreviadas. Después separe la tarea de enrutamiento ordinaria de la tarea del túnel. Un dispositivo que reenvía bien los paquetes puede negarse a terminar un túnel, y un dispositivo que termina un túnel puede no tener forma de mantener dos redes locales separadas. Tratar ambas como un único requisito oculta el desajuste hasta que la unidad ya está montada en el rack, configurada y medio confiada.
Anote la estructura de la LAN, no el número de puertos
Cuatro tomas suelen significar un conmutador, y un conmutador significa un dominio de difusión a menos que se configuren VLAN. Eso está bien para una red doméstica plana y mal para un sitio que quiere un segmento de invitados, un segmento de gestión y un segmento de cámaras aislado en el mismo equipo. Anote qué puertos pertenecen a qué VLAN, qué VLAN llegan a la CPU y qué interfaces llevan direcciones.
Donde el firmware ofrece VLAN, la lista de interfaces decide cuántas políticas distintas puede escribir. Una VLAN definida en el conmutador pero nunca asignada como interfaz no tiene dirección ni zona de cortafuegos, así que no puede imponer nada por sí sola.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Lea el estado del conmutador en lugar de fiarse del menú. En objetivos OpenWrt antiguos la herramienta de conmutador imprime los dispositivos configurados, y en objetivos DSA las herramientas de puente informan los mismos hechos por puerto, por eso la versión de firmware pertenece al registro.
Anote el comportamiento de WAN y de conmutación por error
Método de acceso, propiedad de la dirección y orden de conmutación por error van en una línea por enlace ascendente, porque un túnel que sobrevive a un cambio de WAN depende de las tres cosas. Una sesión PPPoE se reconecta con una dirección nueva y arrastra el túnel consigo, mientras que un enlace DHCP que conserva su concesión puede que no.
La conmutación por error también requiere una decisión de política. Enviar todo el tráfico al enlace de respaldo es fácil; mantener el túnel en el primario mientras el tráfico web ordinario usa el de respaldo exige enrutamiento por políticas, y no todos los firmwares lo exponen. Anote si el túnel está vinculado a un enlace ascendente y qué hace el dispositivo con las sesiones establecidas cuando ese enlace desaparece. Guarde la tabla de enrutamiento como prueba, no la casilla de conmutación por error.
Pruebe un flujo permitido y un flujo denegado
El registro solo vale la pena si el dispositivo puede aceptarse contra él. Elija un flujo que deba funcionar, uno que no deba, y ejecute ambos desde un cliente en el segmento en cuestión. Un túnel que transporta todas las subredes es un fallo cuando el requisito era una sola subred.
Luego confirme la denegación, ya que un valor predeterminado permisivo es la sorpresa habitual. El segmento de invitados no debe alcanzar la dirección de gestión, y la comprobación debería mostrar un tiempo de espera o un rechazo en lugar de una página de inicio de sesión.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Si el flujo permitido funciona y el denegado también, falta la segmentación aunque los menús sugirieran lo contrario. Si fallan ambos, el alcance del túnel o la ruta de retorno están mal, y el registro de WAN suele explicar cuál. Guarde los dos resultados con el registro de capacidades para que el siguiente revisor vea qué se aceptó, con qué firmware y en qué fecha.