Teine ruuter VPN-lüüsina: mida see ei lahenda
Teine ruuter annab valitud seadmetele teise väljapääsu. See ei kõrvalda topelt-NAT-i, ei paranda kohalikku avastamist ega hoolda end pärast tunnelitõrget.
Teise ruuteri paigutamine peamise taha on puhas viis anda mõnele seadmele teine väljapääs. See on ka koht, kus inimesed ootavad rohkem isolatsiooni, kui seade pakub. Põhivõrk hoiab oma tavalise tee ja allpool asuv võrk järgib teise ruuteri poliitikat. Mis nende vahel toimub ja mis toimub siis, kui tunnel ebaõnnestub, on osa, mida tasub planeerida.
Seadistus töötab. Müüdid on sellest, mida see kaitseb. See on endiselt kasulik disain; lihtsalt see ei ole iseenesest turvapiir.
Müüt: teine ruuter isoleerib tunneli täielikult
Teise lüüsi taga olevad seadmed järgivad selle poliitikat. Põhivõrgu seadmed ei päri seda tunnelit ja see ongi mõte. Kuid teisel ruuteril on endiselt ülespoole suunduv tee läbi esimese ja see tee on suhe, mida peate haldama.
Teine ruuter vajab ka VPN-kliendiprofiili. Funktsioon, mis võtab vastu ainult sissetulevaid VPN-ühendusi, ei loo väljuvat tunnelit teenusepakkuja juurde. Kontrollige püsivara kliendituge enne riistvara ostmist.
Andke allpool asuvale võrgule mittekattuv alamvõrk. Näidisvahemiku kopeerimine olemasolevaid võrke kontrollimata on usaldusväärne viis marsruutimismõistatuse loomiseks.
Müüt: topelt-NAT on ainult VPN-i kapseldamine
Kaks marsruuditud lüüsi võivad luua topelt-NAT-i ja see on VPN-i enda kapseldamisest eraldi. Tavaline väljuv liiklus tavaliselt töötab. Sissetulev teenusejuurdepääs nõuab teadlikku disaini, sageli pordiedastust mõlemas seadmes või täiesti teistsugust lähenemist.
Lisanduv tõlkekiht teeb ka logisid raskemini loetavaks. Põhiruuteri logis olev lähteaadress võib kuuluda teisele ruuterile, mitte seadmele, mida te silute. Seda tasub teada enne, kui hakkate taga ajama fantoomseadet.
Kirjutage aadressiplaan üles enne, kui midagi sisse lülitate.
Müüt: avastamine läbib, sest mõlemad LAN-id sirvivad hästi
Mõlemad võrgud saavad internetis sirvida, samal ajal kui nendevaheline avastamine ebaõnnestub. Põhi-Wi-Fi telefon ei pruugi leida VPN-lüüsi taga olevat telerit, sest multicast-avastamine ei ületa vaikimisi marsruuditud piiri. Kui see loeb, vajate reflektorit või teistsugust topoloogiat. Sirvimise õnnestumine ei ole tõestus kohalikust avastamisest.
Hoidke teise ruuteri haldusliides autoriseeritud tee kaudu kättesaadav, avaldamata seda WAN-is. Salvestage mõlema lüüsi konfiguratsioon enne marsruutide muutmist.
Testige DNS-i ja IPv6-t ning nähtavat väljumisaadressi. Tunnel, mis kannab ainult IPv4-t, võib lekitada teise perekonna. Kirjutage mõlemad tulemused muudatuste logisse.
Mida teine lüüs teile tegelikult annab
See teeb ulatuse nähtavaks. Saate osutada ühele seadmele ja öelda, milline võrk tunnelit järgib, ning majapidamine hoiab oma tavalise tee. See selgus on paljude kodude jaoks lisariistvara väärt.
See on ikka veel üks hooldatav seade koos volituste, püsivara ja taastamisprotsessiga. Otsustage, kas allpool olevad seadmed peaksid peatuma või tagasi pöörduma, kui VPN ebaõnnestub, ja testige seda käitumist. Lüüs ei kõrvalda operatiivset tööd; see koondab selle. pfSense WireGuardi kliendi retsept katab tunneli poole ühel levinud platvormil.