یک VPN سایتی کنار روتر ISP اضافه کنید بدون قطع تماسها

بیشتر سایتهای کوچک همین حالا یک جعبه دارند که اینترنت، DHCP و خط صدا را انجام میدهد، و آن جعبه تونل سایت شما را اجرا نخواهد کرد. افزودن دروازه دوم برای مسیر خصوصی کار میکند، به شرطی که پیش از دست زدن به کابل روشن کنید هر مسیر مال کیست. خطر واقعی تونل نیست؛ تغییر خاموش دستگاهی است که تلفنها را ثبتشده نگه میدارد. پنج بررسی را به ترتیب انجام دهید و هر جا یکی شکست خورد متوقف شوید.

نقشهایی را که همین حالا کار میکنند بنویسید

دروازه پیشفرض، سرور DHCP، حلکننده و دستگاهی که ثبت صدای ارائهدهنده را دارد یادداشت کنید. در این نمونه روتر ISP نشانی 10.50.0.1 دارد، دروازه جدید روی 10.50.0.2 مینشیند و سایت دور 10.60.0.0/24 است. هیچ چیز در آن طرح سه نقش اول را تغییر نمیدهد و نکته دقیقاً همین است. سپس تأیید کنید جعبه دوم واقعاً میتواند تونل مورد نیاز را پایان دهد: پروتکل، توان عبوری مورد انتظار و اینکه بهروزرسانی میانافزار یا بسته میگیرد یا نه را بررسی کنید. دستگاهی با نشان VPN و بدون مسیر بهروزرسانی بار است، نه افزوده.

اگر نمیتوانید بگویید خط صدا مال کیست، متوقف شوید. تغییر روتری که یک ثبت را نگه میدارد بدون طرح بازگشت، پروژه VPN را به قطع تلفن تبدیل میکند.

به دروازه جدید یک نشانی و یک کار بدهید

نشانی LAN آن را بیرون از استخر DHCP رزرو کنید تا پس از راهاندازی دوباره جابهجا نشود، و تا وقتی نمیخواهید مسیر اینترنت شود به آن مسیر پیشفرض ندهید. کارش نگه داشتن تونل و پاسخ دادن برای پیشوندهای دور است. روی میزبانهای LAN که باید به سایت دور برسند ثابت کنید اکنون کدام مسیر را میروند و پس از تغییر کدام را میخواهید؛ همان دو فرمان پیش و پس ارزانترین مدرک است.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

اگر جستجو روتر ISP را برگرداند و traceroute در لبه اینترنت بمیرد، میزبان هنوز مسیر دور ندارد و این انتظار میرود. اگر چیز غیرمنتظرهای برگرداند، اول همان را حل کنید، چون هر گام بعدی این مبنا را فرض میکند.

انتخاب کنید مسیر پیشوند دور مال کیست

گزینه A روتر ISP است: یک مسیر ایستا برای 10.60.0.0/24 به سمت دروازه نگه میدارد و هر میزبان مثل قبل از دروازه پیشفرض خود پیروی میکند. گزینه B برای هر میزبان است: فقط ماشینهایی که سایت دور را لازم دارند مسیر صریح از 10.50.0.2 میگیرند و بقیه دستنخورده میمانند. A برای میزبانهای زیاد تمیزتر است، اما معمولاً لازم میداند روتر ارائهدهنده مسیر ایستا را بپذیرد، که بعضی نمیپذیرند. B به همکاری ارائهدهنده نیاز ندارد، اما نگهداری پیکربندی میزبانها را برای شما میگذارد، پس برای مجموعه کوچکی از ماشینهای تأییدشده مناسب است.

در هر دو حالت جهت بازگشت باید وجود داشته باشد. اگر پاسخ دور به دروازه برسد و دروازه آن را مستقیم به میزبان LAN بفرستد، ترافیک از وضعیت دیوار آتش که روتر ISP در مسیر رفت نگه میداشت رد میشود. وقتی دروازه روتر پیشفرض LAN نیست، این ناهمسانی یک تصمیم طراحی است، نه خطایی که بتوان نادیده گرفت.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

ورودی را از راه مالک پیکربندی میزبان پایدار کنید، نه با اسکریپت ورود. مسیری که فقط پس از ورود کسی وجود دارد، نخستین بار که ماشین به دلیلی نامرتبط راهاندازی دوباره شود شکست میخورد.

یک نقطه ورودی قابل دسترس فراهم کنید

دروازه نشانیای لازم دارد که سایت دور بتواند به آن برسد. پشت روتر ISP این یعنی هدایت پورت یا ورودی DMZ، و هر دو به این بستگی دارد که ارائهدهنده واقعاً ترافیک را برساند. هدایت محلی نمیتواند NAT سطح اپراتور در سمت ارائهدهنده را رد کند. اگر ارائهدهنده نقطه دسترسپذیر نمیدهد، جهت را برعکس کنید: بگذارید هر دو سایت به سمت هابی که شما کنترل میکنید آغاز کنند. این طراحی معتبری است، اما وابستگی سومی برای هدایت، اعتماد و دسترسپذیری میافزاید و DNS پویا جای آن را نمیگیرد.

هدایت را با ثبت بسته در دروازه تأیید کنید، نه با وبگاهی که پورت اسکن میکند. اسکنرها تا وقتی شنونده به پورت بسته نشده آن را بسته گزارش میکنند، و هدایتی که هرگز ترافیک نمی رساند از بیرون مانند پورت بسته دیده میشود.

سرویس خصوصی و خط صدا را با هم بپذیرید

کارکرد مورد نظر را از یک میزبان LAN با DNS خصوصی و اعتبارنامههای خود برنامه آزمون کنید. تونل مسیریابیشده مرور دور را شبیه یک بخش اترنت محلی نمیکند، پس کشف و حل نام به تدبیر خود نیاز دارد.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

سپس تأیید کنید دسترسی معمول به اینترنت از همان میزبان کار میکند و تلفنها هنوز ثبتشدهاند؛ همان دو بررسی تغییر تصادفی مسیر پیشفرض را میگیرند، رایجترین راهی که این پروژه چیزی را میشکند که هرگز قصد دست زدن به آن را نداشت. با یک یادداشت بازیابی نوشتهشده تمام کنید: کدام دستگاه کدام نقش را دارد، نشانیهای رزروشده، و چگونه مسیر پیشوند دور را در یک گام حذف کنید. مسیر خصوصیای که تمیز پس گرفته شود ارزش بیشتری از یکی دارد که فقط امروز کار میکند.