روتر VPN: LAN و WAN — پیش از خرید چه چیزی را ثبت کنید
برچسب VPN هیچ چیزی درباره VLAN، تغییر مسیر خودکار WAN یا نقش تونل‌ها نمی‌گوید. توانایی‌های دقیق مدل و میان‌افزاری را که قصد استقرارش را دارید بنویسید.
برچسب «آماده برای VPN» را یکی از ویژگی‌های دستگاهی بدانید که باید مسیریابی، تفکیک و تغییر خودکار در صورت خرابی هم انجام دهد، چون برچسب هیچ چیزی درباره اینکه دستگاه چند شبکه جداگانه را می‌تواند نگه دارد نمی‌گوید. با نوشتن یک سابقه توانایی برای مدل و میان‌افزار دقیق شروع کنید و سپس آن سابقه را با جریان‌هایی که سایت نیاز دارد مقایسه کنید. صفحه‌های بازاریابی سوکت‌ها را فهرست می‌کنند؛ به‌ندرت عضویت در VLAN، سیاست تغییر خودکار یا دامنه تونل را فهرست می‌کنند. سابقه حدود بیست دقیقه وقت می‌گیرد و بیشتر بحث‌های خرید را پیش از رسیدن سخت‌افزار حل می‌کند.
پیش از هر چیز دستگاه دقیق را مشخص کنید
نام مدل‌ها بین نسل‌های میان‌افزار جابه‌جا می‌شوند و همان بدنه بسته به نسخه ممکن است با درایور سوئیچ متفاوتی عرضه شود. هویت برد را از خود دستگاه بخوانید نه از جعبه، تا هر ادعای بعدی به چیزی گره بخورد که می‌توانید بازتولیدش کنید. یک فرمان مدل، نام برد و نسخه میان‌افزار را در OpenWrt پوشش می‌دهد و صفحه‌های معادل در بیشتر میان‌افزارهای تجاری وجود دارد.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseآن رشته‌ها را در سابقه بنویسید، هرگز کوتاه‌شده. سپس کار مسیریابی معمولی را از کار تونل جدا کنید. دستگاهی که بسته‌ها را خوب هدایت می‌کند ممکن است هنوز از پایان دادن به تونل امتناع کند و دستگاهی که تونل را پایان می‌دهد ممکن است هیچ راهی برای جدا نگه داشتن دو شبکه محلی نداشته باشد. اگر این دو را یک نیاز واحد بدانید، ناسازگاری پنهان می‌ماند تا وقتی که واحد در قفسه نصب، پیکربندی و نیمه‌مورد اعتماد شده است.
ساختار LAN را ثبت کنید، نه تعداد پورت‌ها
چهار سوکت معمولاً یعنی یک سوئیچ و سوئیچ یعنی یک دامنه پخش، مگر اینکه VLANها پیکربندی شده باشند. این برای شبکه خانگی تخت خوب است و برای سایتی که می‌خواهد بخش مهمان، بخش مدیریت و بخش دوربین جداگانه را روی همان دستگاه داشته باشد غلط است. ثبت کنید کدام پورت‌ها به کدام VLAN تعلق دارند، کدام VLANها به پردازنده می‌رسند و کدام رابط‌ها نشانی حمل می‌کنند.
جایی که میان‌افزار VLAN ارائه می‌دهد، فهرست رابط‌ها تعیین می‌کند چند سیاست متمایز می‌توانید بنویسید. VLANی که روی سوئیچ تعریف شده اما هرگز به‌عنوان رابط تخصیص نیافته، نشانی و ناحیه فایروال ندارد، پس خودبه‌خود نمی‌تواند چیزی را اعمال کند.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
به جای اعتماد به منو، وضعیت سوئیچ را بخوانید. در هدف‌های قدیمی‌تر OpenWrt ابزار سوئیچ دستگاه‌های پیکربندی‌شده را چاپ می‌کند و در هدف‌های DSA ابزارهای پل همان واقعیت‌ها را برای هر پورت گزارش می‌دهند، از این رو نسخه میان‌افزار به سابقه تعلق دارد.
رفتار WAN و تغییر خودکار را بنویسید
روش دسترسی، مالکیت نشانی و ترتیب تغییر خودکار باید در یک خط برای هر پیوند بالادست بیاید، چون تونلی که از تغییر WAN جان سالم به در می‌برد به هر سه بستگی دارد. نشست PPPoE با نشانی جدید دوباره وصل می‌شود و تونل را با خود می‌اندازد، در حالی که پیوند DHCP که اجاره‌اش را نگه می‌دارد ممکن است چنین نکند.
تغییر خودکار به تصمیم سیاستی هم نیاز دارد. فرستادن همه ترافیک به پیوند پشتیبان آسان است؛ نگه داشتن تونل روی پیوند اصلی در حالی که ترافیک عادی وب از پشتیبان استفاده می‌کند به مسیریابی سیاستی نیاز دارد و هر میان‌افزاری آن را ارائه نمی‌دهد. ثبت کنید که آیا تونل به یک پیوند بالادست گره خورده و دستگاه با نشست‌های برقرارشده چه می‌کند وقتی آن پیوند ناپدید می‌شود. جدول مسیریابی را به‌عنوان شاهد نگه دارید، نه کادر تغییر خودکار را.
یک جریان مجاز و یک جریان مسدود را آزمایش کنید
سابقه فقط وقتی ارزش نگه داشتن دارد که دستگاه بر اساس آن پذیرفته شود. یک جریان را انتخاب کنید که باید کار کند، یکی که نباید، و هر دو را از کارخواه روی همان بخش اجرا کنید. تونلی که همه زیرشبکه‌ها را حمل می‌کند وقتی نیاز یک زیرشبکه بوده شکست است.
سپس مسدود بودن را تأیید کنید، چون پیش‌فرض سهل‌گیرانه غافلگیری معمول است. بخش مهمان نباید به نشانی مدیریت برسد و بررسی باید مهلت یا رد نشان دهد نه صفحه ورود.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1اگر جریان مجاز کار می‌کند و جریان مسدود هم کار می‌کند، تفکیک غایب است حتی اگر منوها خلاف آن را نشان داده باشند. اگر هر دو شکست بخورند، دامنه تونل یا مسیر بازگشت غلط است و سابقه WAN معمولاً توضیح می‌دهد کدام. دو نتیجه را همراه سابقه توانایی نگه دارید تا بازبین بعدی ببیند چه چیزی پذیرفته شد، روی کدام میان‌افزار و در کدام تاریخ.