روتر دوم به‌عنوان دروازه VPN: چه چیزی را حل نمی‌کند
روتر دوم به دستگاه‌های انتخابی خروجی متفاوتی می‌دهد. اما NAT دوگانه را برنمی‌دارد، کشف محلی را درست نمی‌کند و پس از شکست تونل خودش را نگه نمی‌دارد.
گذاشتن روتر دوم پشت روتر اصلی راهی تمیز برای دادن خروجی متفاوت به چند دستگاه است. اینجا همان جایی است که مردم بیش از آنچه دستگاه فراهم می‌کند انتظار جداسازی دارند. شبکه اصلی مسیر معمول خود را نگه می‌دارد و شبکه پایین‌دست از سیاست روتر دوم پیروی می‌کند. آنچه میان آن‌ها رخ می‌دهد و آنچه هنگام شکست تونل رخ می‌دهد، بخشی است که ارزش برنامه‌ریزی دارد.
این چیدمان کار می‌کند. افسانه‌ها درباره چیزی است که از آن محافظت می‌کند. هنوز طراحی مفیدی است؛ فقط به‌تنهایی مرز امنیتی نیست.
افسانه: روتر دوم تونل را کاملاً جدا می‌کند
دستگاه‌های پشت دروازه دوم از سیاست آن پیروی می‌کنند. دستگاه‌های شبکه اصلی آن تونل را به ارث نمی‌برند، و هدف همین است. اما روتر دوم هنوز مسیری بالادست از طریق روتر اول دارد، و آن مسیر رابطه‌ای است که باید مدیریتش کنید.
روتر دوم به پروفایل کلاینت VPN هم نیاز دارد. قابلیتی که فقط اتصال‌های ورودی VPN را می‌پذیرد تونل خروجی به سوی ارائه‌دهنده ایجاد نمی‌کند. پیش از خرید سخت‌افزار، پشتیبانی کلاینت در firmware را بررسی کنید.
به شبکه پایین‌دست زیرشبکه‌ای بدهید که همپوشانی نداشته باشد. کپی کردن یک محدوده نمونه بدون بررسی شبکه‌های موجود، راهی مطمئن برای ساختن معمای مسیریابی است.
افسانه: NAT دوگانه فقط کپسوله‌سازی VPN است
دو دروازه مسیریابی‌شده می‌توانند NAT دوگانه بسازند، و این جدا از کپسوله‌سازی خود VPN است. ترافیک خروجی معمولی معمولاً کار می‌کند. دسترسی ورودی به سرویس‌ها به طراحی آگاهانه نیاز دارد، غالباً هدایت پورت روی هر دو دستگاه یا رویکردی کاملاً متفاوت.
لایه ترجمه اضافی خواندن گزارش‌ها را هم سخت‌تر می‌کند. نشانی مبدأ در گزارش روتر اصلی ممکن است به روتر دوم تعلق داشته باشد، نه به دستگاهی که در حال اشکال‌زدایی آن هستید. پیش از تعقیب یک دستگاه خیالی، دانستن این نکته ارزش دارد.
پیش از روشن کردن هر چیزی، نقشه نشانی‌ها را بنویسید.
افسانه: کشف عبور می‌کند چون هر دو LAN خوب مرور می‌کنند
هر دو شبکه می‌توانند اینترنت را مرور کنند در حالی که کشف میان آن‌ها شکست می‌خورد. گوشی روی Wi-Fi اصلی ممکن است تلویزیونی پشت دروازه VPN پیدا نکند، چون کشف multicast به‌طور پیش‌فرض از مرز مسیریابی‌شده عبور نمی‌کند. اگر این مهم است، به بازتاب‌دهنده یا توپولوژی دیگری نیاز دارید. موفقیت در مرور، شاهدی بر کشف محلی نیست.
رابط مدیریت روتر دوم را از مسیری مجاز در دسترس نگه دارید بدون آنکه آن را روی WAN منتشر کنید. پیش از تغییر مسیرها، پیکربندی هر دو دروازه را ذخیره کنید.
DNS و IPv6 و همچنین نشانی خروجی قابل‌مشاهده را آزمایش کنید. تونلی که فقط IPv4 را حمل می‌کند می‌تواند خانواده دیگر را نشت دهد. هر دو نتیجه را در سابقه تغییر بنویسید.
دروازه دوم واقعاً چه چیزی به شما می‌دهد
دامنه را قابل‌مشاهده می‌کند. می‌توانید به یک دستگاه اشاره کنید و بگویید کدام شبکه از تونل پیروی می‌کند، و خانواده مسیر معمول خود را نگه می‌دارد. این وضوح برای بسیاری از خانه‌ها ارزش سخت‌افزار اضافه را دارد.
هنوز دستگاه دیگری است که باید نگهداری شود، با اعتبارنامه‌ها، firmware و فرایند بازیابی. تصمیم بگیرید آیا دستگاه‌های پایین‌دست باید هنگام شکست VPN متوقف شوند یا به مسیر قبلی برگردند، و آن رفتار را آزمایش کنید. دروازه کار عملیاتی را حذف نمی‌کند؛ آن را متمرکز می‌کند. دستورالعمل کلاینت pfSense WireGuard سمت تونل را روی یک پلتفرم رایج پوشش می‌دهد.