Gehitu gune VPN ISP routerraren ondoan deialdiak eten gabe

Gune txiki gehienek badute jada internet, DHCP eta ahots linea egiten dituen kaxa bat, eta kaxa horrek ez du zure guneko tunela eramango. Bide pribaturako bigarren atebide bat gehitzeak funtzionatzen du, kablea ukitu aurretik bide bakoitzaren jabea nor den erabakitzen baduzu. Benetako arriskua ez da tunela; telefonoak erregistratuta mantentzen dituen gailua isilka aldatzea da. Egin bost egiaztapenak ordenan eta gelditu bat huts egiten duen tokian.

Idatzi jada funtzionatzen duten rolak

Erregistratu atebide lehenetsia, DHCP zerbitzaria, ebazlea eta hornitzailearen ahots erregistroa duen gailua. Adibide honetan ISP routerra 10.50.0.1 da, atebide berria 10.50.0.2 izango da eta urruneko gunea 10.60.0.0/24. Plan horretan ezerk ez ditu lehen hiru rolak aldatzen, eta hori da kontua. Ondoren egiaztatu bigarren kaxak benetan tunela amai dezakeela: begiratu protokoloa, espero den emaria eta firmware edo pakete eguneraketak jasotzen dituen. VPN logotipoa duen eta eguneratzeko biderik ez duen gailua zama da, ez gehiketa.

Ahots zerbitzuaren jabea nor den esan ezin baduzu, gelditu. Erregistroa duen routerra atzera egiteko planik gabe aldatzea VPN proiektua telefono etete bihurtzeko modua da.

Eman atebide berriari helbide bat eta zeregin bat

Erreserbatu bere LAN helbidea DHCP multzotik kanpo, berrabiarazi ondoren ez mugitzeko, eta ez eman berezko bide lehenetsirik internet bide bihurtzea nahi ez baduzu. Bere zeregina tunela mantentzea eta urruneko prefixoei erantzutea da. Urruneko gunera iritsi behar duten LAN ostalariei frogatu orain zein bide hartzen duten eta aldaketaren ondoren zein nahi duzun; bi komando berak aurretik eta ondoren dira frogarik merkeena.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Bilaketak ISP routerra itzultzen badu eta traceroute interneteren ertzean hiltzen bada, ostalariak ez du oraindik urruneko biderik, eta hori espero da. Ustekabeko zerbait itzultzen badu, konpondu hori lehenago, geroagoko urrats bakoitzak oinarri hori suposatzen baitu.

Aukeratu urruneko prefijoaren bidearen jabea

A aukera ISP routerra da: 10.60.0.0/24rako bide estatikoa du atebiderantz, eta ostalari bakoitzak lehen bezala jarraitzen dio bere atebide lehenetsiari. B aukera ostalari bakoitzekoa da: urruneko gunea behar duten makinek soilik jasotzen dute bide esplizitua 10.50.0.2 bidez, eta gainerakoa ukitu gabe geratzen da. A garbiagoa da ostalari askorentzat, baina normalean hornitzailearen routerrak bide estatikoa onartu behar du, eta batzuek ez dute egiten. Bk ez du hornitzailearen laguntzarik behar, baina ostalarien konfigurazioaren mantenua zure gain uzten du, beraz onartutako makina multzo txiki baterako egokia da.

Bi kasuetan itzulera norabidea egon behar da. Urruneko erantzun bat atebidera iristen bada eta atebideak zuzenean LAN ostalari batera bidaltzen badu, trafikoak ISP routerrak joateko bidean mantentzen zuen suhorma egoera saihesten du. Atebidea LANeko router lehenetsia ez denean, asimetria hori diseinu erabakia da, ez baztertu daitekeen akatsa.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Egin sarrera iraunkorra ostalariaren konfigurazioaren jabearen bidez, ez saio-hasierako script baten bidez. Norbait sartu ondoren soilik existitzen den bide bat huts egingo du makina arrazoi ezberdin batez berrabiarazten den lehen aldian.

Prestatu sarrera puntu irisgarri bat

Atebideak urruneko guneak irits dezakeen helbidea behar du. ISP routerraren atzean horrek portu birbideratzea edo DMZ sarrera esan nahi du, eta biek hornitzaileak trafikoa benetan ematen duen ala ez dute. Tokiko birbideratzeak ezin du hornitzailearen aldeko eramaile mailako NATa gainditu. Hornitzaileak puntu irisgarririk ematen ez badu, irauli norabidea: utzi bi guneak zuk kontrolatzen duzun zentro baterantz has daitezen. Baliagarria da, baina hirugarren mendekotasuna gehitzen du birbideratze, konfiantza eta erabilgarritasunarentzat, eta DNS dinamikoak ez du ordezkatzen.

Egiaztatu birbideratzea atebidean egindako harrapaketa batekin, ez portuak eskaneatzen dituen webgune batekin. Eskanerrek portua itxita dela diote entzulea lotu arte, eta inoiz trafikorik ematen ez duen birbideratze bat kanpotik itxitako portu baten berdin ikusten da.

Onartu zerbitzu pribatua eta ahots linea batera

Probatu aurreikusitako funtzionamendua LAN ostalari batetik, DNS pribatuarekin eta aplikazioaren beraren kredentzialekin. Bideratutako tunelak ez du urruneko nabigazioa tokiko Ethernet segmentu baten itxura egiten, beraz aurkikuntzak eta izenen ebazpenak beren antolamendua behar dute.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Ondoren egiaztatu internet sarbide arrunta oraindik funtzionatzen duela ostalari beretik eta telefonoak oraindik erregistratuta daudela; bi egiaztapen horiek bide lehenetsiaren ustekabeko aldaketa harrapatzen dute, proiektu honek ukitu nahi ez zuen zerbait hautsi ohi duen modurik ohikoena. Amaitu berreskuratze ohar idatzi batekin: zein gailuk zein rol duen, erreserbatutako helbideak eta urruneko prefijoaren bidea nola kendu urrats bakarrean. Garbi kenda daitekeen bide pribatu batek gaur soilik funtzionatzen duenak baino gehiago balio du.