VPN-ruuteri LAN ja WAN: mida enne ostu kirja panna
VPN-märgis ei ütle midagi VLAN-ide, WAN-tõrkeülemineku ega tunnelite rollide kohta. Kirjuta üles täpsed võimalused mudeli ja püsivara kohta, mida kavatsed juurutada.
Kohtle VPN-valmis märgist ühe omadusena seadmel, mis peab ka marsruutima, segmenteerima ja tõrke korral üle lülituma, sest märgis ei ütle midagi selle kohta, kui palju eraldi võrke seade mahutada suudab. Alusta võimekuse protokolli kirjutamisega täpse mudeli ja püsivara jaoks ning võrdle seda seejärel voogudega, mida objekt vajab. Turunduslehed loetlevad pesasid; harva loetlevad need VLAN-i kuuluvust, tõrkeülemineku poliitikat või tunneli ulatust. Protokoll võtab umbes kakskümmend minutit ja lahendab enamiku ostuvaidlustest enne riistvara saabumist.
Kinnita täpne seade enne kõike muud
Mudelinimed liiguvad üle püsivara põlvkondade ja sama korpus võib olenevalt väljaandest tulla teistsuguse lüliti draiveriga. Loe plaadi identiteeti seadmest endast, mitte kartongilt, et iga hilisem väide oleks seotud millegi taasesitatavaga. Üks käsk katab OpenWrtis mudeli, plaadi nime ja püsivara väljalaske, ja samaväärsed ekraanid on enamikus äripüsivaras.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseKirjuta need stringid protokolli, kunagi lühendamata. Seejärel eralda tavaline marsruutimistöö tunnelitööst. Seade, mis edastab pakette hästi, võib ikkagi keelduda tunnelit lõpetamast, ja tunnelit lõpetaval seadmel ei pruugi olla võimalust hoida kahte kohalikku võrku lahus. Kui kohelda neid ühe nõudena, peidab lahknevus end kuni seade on juba riiulisse paigaldatud, konfigureeritud ja poolenisti usaldatud.
Kirjuta üles LAN-i struktuur, mitte portide arv
Neli pesa tähendavad tavaliselt ühte lülitit ja lüliti tähendab ühte ringhäälingu domeeni, kui VLAN-e pole konfigureeritud. See sobib lamedale koduvõrgule ja on vale objektile, mis tahab sama seadme peal külalise segmenti, haldussegmenti ja isoleeritud kaamerasegmenti. Kirjuta üles, millised pordid kuuluvad millisesse VLAN-i, millised VLAN-id jõuavad protsessorini ja millised liidesed kannavad aadresse.
Kus püsivara pakub VLAN-e, otsustab liideste loend, kui palju erinevaid poliitikaid saad kirjutada. VLAN, mis on lülitil määratletud, kuid mida pole kunagi liidesena määratud, ei oma aadressi ega tulemüüri tsooni, seega ei saa see ise midagi jõustada.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Loe lüliti olekut, selle asemel et menüüd usaldada. Vanematel OpenWrti sihtmärkidel trükib lüliti tööriist konfigureeritud seadmed ja DSA sihtmärkidel teatavad silla tööriistad samu fakte iga pordi kohta, mistõttu kuulub püsivara väljalase protokolli.
Kirjuta üles WAN-i ja tõrkeülemineku käitumine
Juurdepääsumeetod, aadressi omandiõigus ja tõrkeülemineku järjekord kuuluvad ühele reale ülesvoolu lingi kohta, sest WAN-i muutuse üle elav tunnel sõltub kõigist kolmest. PPPoE sessioon ühendub uuesti uue aadressiga ja kaotab koos sellega tunneli, samas kui oma liisingut säilitav DHCP ülesvoolu link ei pruugi seda teha.
Tõrkeüleminek nõuab ka poliitikaotsust. Kogu liikluse varulingile saatmine on lihtne; tunneli hoidmine põhilingil, samal ajal kui tavaline veebiliiklus kasutab varulingi, nõuab poliitikapõhist marsruutimist ja mitte iga püsivara ei paku seda. Märgi üles, kas tunnel on seotud ühe ülesvoolu lingiga ja mida seade teeb olemasolevate sessioonidega, kui see link kaob. Salvesta marsruutimistabel tõendina, mitte tõrkeülemineku märkeruut.
Testi üht lubatud ja üht keelatud voogu
Protokolli tasub hoida ainult siis, kui seadet saab selle järgi vastu võtta. Vali üks voog, mis peab töötama, üks, mis ei tohi, ja käivita mõlemad kliendilt kõnealuses segmendis. Tunnel, mis kannab iga alamvõrku, on ebaõnnestumine, kui nõue oli üks alamvõrk.
Seejärel kinnita keeld, sest lubav vaikeväärtus on tavaline üllatus. Külalissegment ei tohi haldusaadressini jõuda ja kontroll peaks näitama ajalõppu või keeldumist, mitte sisselogimislehte.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Kui lubatud voog töötab ja keelatud voog töötab samuti, puudub segmenteerimine, isegi kui menüüd vihjasid teisiti. Kui mõlemad ebaõnnestuvad, on tunneli ulatus või tagasitee vale, ja WAN-i protokoll selgitab tavaliselt, milline. Hoia kahte tulemust võimekuse protokolli juures, et järgmine ülevaataja näeks, mis võeti vastu, millisel püsivaral ja mis kuupäeval.