VPN bideratzailea: LAN eta WAN — zer idatzi erosi aurretik
VPN etiketa batek ez du ezer esaten VLANei, WANeko hutsegite-aldaketari edo tunelen rolei buruz. Idatzi zehatz-mehatz erabili nahi duzun modeloaren eta firmwarearen gaitasunak.
Trata ezazu VPN-rako prest etiketa bat kutxa bateko ezaugarri bakar gisa, kutxak bideratu, segmentatu eta hutsegitean aldatu ere egin behar baitu, etiketak ez baitu ezer esaten gailuak zenbat sare bereizi eduki ditzakeen. Hasi gaitasun-erregistro bat idazten modelo eta firmware zehatzentzat, eta gero alderatu erregistro hori guneak behar dituen fluxuekin. Marketin orriek konektoreak zerrendatzen dituzte; oso gutxitan zerrendatzen dituzte VLAN kidegoa, hutsegite-politika edo tunelaren irismena. Erregistroak hogei minutu inguru behar ditu eta erosketa eztabaida gehienak argitzen ditu hardwarea iritsi aurretik.
Finkatu kutxa zehatza beste guztia baino lehen
Modelo-izenak firmware belaunaldien artean ibiltzen dira, eta karkasa berak kontrolatzaile ezberdina izan dezake bertsioaren arabera. Irakurri plakaren identitatea gailutik bertatik eta ez kartoizko kaxatik, geroagoko baieztapen bakoitza erreproduzi dezakezun zerbaiti lotuta egon dadin. Komando bakarrean OpenWrt-en modeloa, plakaren izena eta firmware bertsioa jasotzen dira, eta baliokide diren pantailak firmware komertzial gehienetan daude.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseIdatzi kate horiek erregistroan, inoiz laburtu gabe. Gero bereizi bideratze-lan arrunta tunel-lanetik. Paketeak ondo birbidaltzen dituen gailu batek tunel bat amaitzeari uko egin diezaioke, eta tunel bat amaitzen duen gailuak baliteke bi sare lokal bereiz edukitzeko modurik ez izatea. Biak baldintza bakar gisa hartuta, desadostasuna ezkutuan geratzen da unitatea jada rackean sartuta, konfiguratuta eta erdi fidatuta dagoen arte.
Idatzi LAN egitura, ez portu kopurua
Lau konektorek normalean kommutagailu bakarra esan nahi dute, eta kommutagailuak igorpen-domeinu bakarra, baldin eta VLANak konfiguratu ez badira. Hori egokia da etxeko sare lau batentzat eta okerra gune batek kutxa berean gonbidatu segmentua, kudeaketa segmentua eta kameraren segmentu isolatu bat nahi baditu. Idatzi zein portu dagokion zein VLANi, zein VLAN iristen diren prozesadorera eta zein interfazek daramaten helbideak.
Firmwareak VLANak eskaintzen dituen tokian, interfazen zerrendak erabakitzen du zenbat politika desberdin idatz ditzakezun. Kommutagailuan definituta baina inoiz interfaz gisa esleituta ez dagoen VLAN batek ez du helbiderik eta ez du suebaki-zonarik, beraz ezin du ezer gainbegiratu bere kabuz.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Irakurri kommutagailuaren egoera, menuan fidatu beharrean. OpenWrt helburu zaharretan kommutagailu-tresnak konfiguratutako gailuak inprimatzen ditu, eta DSA helburuetan zubi-tresnek portu bakoitzeko gertaera berak ematen dituzte, horregatik dagokio firmware bertsioa erregistroari.
Idatzi WAN eta hutsegite-aldaketaren jokabidea
Sarbide metodoa, helbidearen jabetza eta hutsegite-aldaketaren ordena igoera-lotura bakoitzeko lerro bakarrean doaz, WAN aldaketa bat gainditzen duen tunel bat hirurenetan oinarritzen baita. PPPoE saio bat helbide berri batekin konektatzen da berriro eta tunela harekin botatzen du, bere errentamendua mantentzen duen DHCP igoera-loturak agian ez duen bitartean.
Hutsegite-aldaketak politika-erabakia ere behar du. Trafiko guztia babes-loturara bidaltzea erraza da; tunela lehenengoan mantentzea web trafiko arruntak babes-lotura erabiltzen duen bitartean politika bidezko bideratzea eskatzen du, eta firmware guztiek ez dute erakusten. Ohartu tunela igoera-lotura bakar bati lotuta dagoen eta zer egiten duen gailuak ezarritako saioekin lotura hori desagertzen denean. Gorde bideratze-taula froga gisa, ez hutsegite-aldaketaren kontrol-laukia.
Probatu fluxu baimendu bat eta fluxu ukatu bat
Erregistroa gordetzea merezi du gailua haren aurka onar badaiteke. Aukeratu funtzionatu behar duen fluxu bat, ez duen beste bat, eta exekutatu biak segmentu horretako bezero batetik. Azpisare guztiak daramatzan tunel bat huts egitea da baldintza azpisare bakarra zenean.
Ondoren berretsi ukapena, balio lehenetsi baimengarria ohiko sorpresa baita. Gonbidatuen segmentuak ez du kudeaketa-helbidea iritsi behar, eta egiaztapenak denbora-muga edo ukapena erakutsi behar du, ez saio-hasierako orria.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Fluxu baimenduak funtzionatzen badu eta ukatutakoak ere bai, segmentazioa falta da, menuek kontrakoa iradoki bazuten ere. Biak hutsen badira, tunelaren irismena edo itzulera-bidea oker daude, eta WAN erregistroak normalean azaltzen du zein. Gorde bi emaitzak gaitasun-erregistroarekin, hurrengo berrikusleak ikus dezan zer onartu zen, zein firmwaretan eta zein datatan.