Lisage saidi VPN ISP ruuteri kõrvale ilma kõnesid katkestamata

Hoidke ISP ruuteri interneti- ja kõneroll puutumatuna, samal ajal kui teine lüüs haldab privaatset teed. Tehke need viis kontrolli enne mis tahes marsruudi muutmist.

Enamikul väikestel objektidel on juba üks seade, mis teeb internetti, DHCP-d ja kõneliini, ja see seade ei hakka teie objekti tunnelit vedama. Teise lüüsi lisamine privaatse tee jaoks töötab, kui enne kaabli puutumist otsustate, kellele iga marsruut kuulub. Tegelik risk ei ole tunnel, vaid see, et vaikselt vahetatakse seade, mis hoiab telefonid registreerituna. Tehke viis kontrolli järjekorras ja peatuge seal, kus üks ebaõnnestub.

Kirjutage üles rollid, mis juba töötavad

Fikseerige vaikelüüs, DHCP-server, nimeresolver ja seade, millel on teenusepakkuja kõneregistreering. Selles näites on ISP ruuter 10.50.0.1, uus lüüs tuleb 10.50.0.2 peale ja kaugobjekt on 10.60.0.0/24. Miski selles plaanis ei muuda kolme esimest rolli ja täpselt selles on mõte. Seejärel veenduge, et teine seade suudab tõesti vajaliku tunneli lõpetada: kontrollige protokolli, oodatavat läbilaskevõimet ja seda, kas see saab püsivara- või paketiuuendusi. Seade, millel on VPN-logo ja millel puudub uuendustee, on koorem, mitte täiendus.

Kui te ei oska öelda, kellele kõneteenus kuulub, peatuge. Registreeringuga ruuteri vahetamine ilma tagasipööramisplaanita muudab VPN-projekti telefonikatkestuseks.

Andke uuele lüüsile üks aadress ja üks ülesanne

Reserveerige selle LAN-aadress väljaspool DHCP-kogumit, et see ei liiguks pärast taaskäivitust, ja ärge andke sellele oma vaikemarsruuti, kui te just ei taha, et sellest saab internetitee. Selle ülesanne on hoida tunnelit ja vastata kaugprefiksi eest. LAN-hostidel, mis peavad kaugobjektile jõudma, tõestage, millist teed nad praegu kasutavad ja millist te pärast muudatust soovite; samad kaks käsku enne ja pärast on odavaim tõend.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Kui otsing tagastab ISP ruuteri ja traceroute sureb interneti servas, ei ole hostil veel kaugteed, mis on ootuspärane. Kui see tagastab midagi ootamatut, lahendage see esimesena, sest iga järgmine samm eeldab seda baasi.

Valige, kellele kuulub kaugprefiksi marsruut

Variant A on ISP ruuter: sellel on staatiline marsruut 10.60.0.0/24 kohta lüüsi poole ja iga host järgib nagu varem oma vaikelüüsi. Variant B on hostide kaupa: ainult masinad, mis kaugobjekti vajavad, saavad selgesõnalise marsruudi läbi 10.50.0.2 ja kõik muu jääb puutumata. A on paljude hostide puhul puhtam, kuid nõuab tavaliselt, et teenusepakkuja ruuter aktsepteeriks staatilist marsruuti, mida mõned ei tee. B ei vaja pakkuja koostööd, kuid jätab hostide seadistuse hooldamise teile, seega sobib see väikesele kinnitatud masinahulgale.

Mõlemal juhul peab tagasisuund olema olemas. Kui kaugvastus jõuab lüüsile ja lüüs edastab selle otse LAN-hostile, möödub liiklus tulemüüri olekust, mida ISP ruuter hoidis väljuval teel. Kui lüüs ei ole LAN-i vaikeruuter, on see asümmeetria projekteerimisotsus, mitte viga, mida võib ignoreerida.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Tehke kirje püsivaks hosti seadistuse omaniku kaudu, mitte sisselogimisskripti kaudu. Marsruut, mis on olemas alles pärast kellegi sisselogimist, ebaõnnestub esimesel korral, kui masin taaskäivitub mõnel mitteseotud põhjusel.

Korraldage ligipääsetav sissetulev lõpp-punkt

Lüüs vajab aadressi, kuhu kaugobjekt pääseb. ISP ruuteri taga tähendab see pordi edasisaatmist või DMZ-kirjet ning mõlemad sõltuvad sellest, kas pakkuja tegelikult liiklust kohale toimetab. Kohalik edasisaatmine ei ületa operaatoritasandi NAT-i pakkuja poolel. Kui pakkuja ei anna ligipääsetavat punkti, pöörake suund ümber: las mõlemad objektid algatavad ühenduse teie hallatava jaoturi poole. See on kehtiv lahendus, kuid lisab kolmanda sõltuvuse edasisaatmise, usalduse ja kättesaadavuse jaoks ning dünaamiline DNS ei asenda seda.

Kinnitage edasisaatmine lüüsil tehtud püüdmisega, mitte porti skaneeriva veebisaidiga. Skannerid teatavad pordi suletuks, kuni kuulaja on seotud, ja edasisaatmine, mis ei toimeta kunagi liiklust kohale, näeb väljastpoolt välja nagu suletud port.

Võtke privaatne teenus ja kõneliin koos vastu

Katsetage kavandatud tööd LAN-hostilt, privaatse DNS-i ja rakenduse enda volitustega. Marsruuditud tunnel ei muuda kaugnavigeerimist kohaliku Etherneti segmendi sarnaseks, seega vajavad avastamine ja nimede lahendamine oma korraldust.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Seejärel kinnitage, et tavaline internetipääs samalt hostilt toimib endiselt ja telefonid on ikka registreeritud; need kaks kontrolli püüavad kogemata tehtud vaikemarsruudi muutuse, mis on kõige tavalisem viis, kuidas see projekt rikub midagi, mida ta ei kavatsenud puutuda. Lõpetage kirjaliku taastamismärkusega: milline seade millist rolli hoiab, reserveeritud aadressid ja kuidas kaugprefiksi marsruut ühe sammuga eemaldada. Privaatne tee, mille saab puhtalt tagasi võtta, on väärtuslikum kui see, mis töötab ainult täna.

Seotud artiklid