Lisää sivuston VPN ISP-reitittimen rinnalle katkaisematta puheluita

Useimmilla pienillä toimipaikoilla on jo yksi laite, joka tekee internetin, DHCP:n ja puhelinlinjan, eikä se laite aja toimipaikkasi tunnelia. Toisen yhdyskäytävän lisääminen yksityiselle polulle toimii, kunhan päätätte ennen kaapeliin koskemista, kuka omistaa minkäkin reitin. Todellinen riski ei ole tunneli, vaan se, että puhelimet rekisteröityinä pitävä laite vaihdetaan hiljaa. Käy viisi tarkistusta järjestyksessä ja pysähdy siihen, missä yksi epäonnistuu.

Kirjaa roolit, jotka jo toimivat

Kirjaa oletusyhdyskäytävä, DHCP-palvelin, nimipalvelin ja laite, jolla on operaattorin äänirekisteröinti. Tässä esimerkissä ISP-reititin on 10.50.0.1, uusi yhdyskäytävä tulee osoitteeseen 10.50.0.2 ja etätoimipaikka on 10.60.0.0/24. Mikään siinä suunnitelmassa ei muuta kolmea ensimmäistä roolia, ja juuri se on pointti. Varmista sitten, että toinen laite todella voi päättää tarvittavan tunnelin: tarkista protokolla, odotettu läpäisykyky ja saako se laiteohjelmisto- tai pakettipäivityksiä. Laite, jossa on VPN-logo eikä päivityspolkua, on taakka, ei lisä.

Jos et osaa sanoa, kuka omistaa äänipalvelun, pysähdy. Rekisteröinnin sisältävän reitittimen vaihtaminen ilman palautussuunnitelmaa muuttaa VPN-hankkeen puhelinkatkokseksi.

Anna uudelle yhdyskäytävälle yksi osoite ja yksi tehtävä

Varaa sen LAN-osoite DHCP-poolin ulkopuolelta, jotta se ei siirry uudelleenkäynnistyksen jälkeen, äläkä anna sille omaa oletusreittiä, ellet halua siitä internetpolkua. Sen tehtävä on pitää tunnelia ja vastata etäprefikseistä. Niillä LAN-isännillä, joiden on päästävä etätoimipaikkaan, todista, mitä polkua ne käyttävät nyt ja mitä haluat muutoksen jälkeen; samat kaksi komentoa ennen ja jälkeen ovat halvin todiste.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jos haku palauttaa ISP-reitittimen ja traceroute kuolee internetin reunalla, isännällä ei ole vielä etäpolkua, mikä on odotettavaa. Jos se palauttaa jotain odottamatonta, ratkaise se ensin, koska jokainen myöhempi vaihe olettaa tämän perustan.

Valitse, kuka omistaa etäprefiksin reitin

Vaihtoehto A on ISP-reititin: sillä on staattinen reitti 10.60.0.0/24:lle yhdyskäytävälle, ja jokainen isäntä seuraa oletusyhdyskäytäväänsä kuten ennenkin. Vaihtoehto B on isäntäkohtainen: vain etätoimipaikkaa tarvitsevat koneet saavat eksplisiittisen reitin osoitteen 10.50.0.2 kautta, ja kaikki muu pysyy koskemattomana. A on siistimpi monelle isännälle, mutta edellyttää yleensä, että operaattorin reititin hyväksyy staattisen reitin, mitä kaikki eivät tee. B ei vaadi operaattorin yhteistyötä, mutta jättää isäntien kokoonpanon ylläpidon sinulle, joten se sopii pienelle hyväksytylle konemäärälle.

Kummassakin tapauksessa paluusuunnan on oltava olemassa. Jos etävastaus tulee yhdyskäytävälle ja yhdyskäytävä välittää sen suoraan LAN-isännälle, liikenne ohittaa sen palomuuritilan, jota ISP-reititin piti menomatkalla. Kun yhdyskäytävä ei ole LANin oletusreititin, se epäsymmetria on suunnittelupäätös, ei virhe, jonka voi jättää huomiotta.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Tallenna merkintä pysyvästi isännän kokoonpanon omistajan kautta, älä kirjautumiskäsikirjoituksella. Reitti, joka on olemassa vasta jonkun kirjauduttua, epäonnistuu ensimmäisen kerran, kun kone käynnistetään uudelleen toisesta syystä.

Järjestä tavoitettava saapuva päätepiste

Yhdyskäytävä tarvitsee osoitteen, johon etätoimipaikka pääsee. ISP-reitittimen takana se tarkoittaa portin edelleenohjausta tai DMZ-merkintää, ja molemmat riippuvat siitä, toimittaako operaattori liikenteen todella. Paikallinen edelleenohjaus ei ohita operaattorin puolen siirtoverkon NAT:ia. Jos operaattori ei anna tavoitettavaa pistettä, käännä suunta: anna molempien toimipaikkojen aloittaa yhteys keskittimeen, jota hallitset. Se on kelvollinen ratkaisu, mutta lisää kolmannen riippuvuuden edelleenohjaukselle, luottamukselle ja käytettävyydelle, eikä dynaaminen DNS korvaa sitä.

Vahvista edelleenohjaus kaappauksella yhdyskäytävällä, älä portteja skannaavalla verkkosivustolla. Skannerit ilmoittavat portin suljetuksi, kunnes kuuntelija on sidottu, ja edelleenohjaus, joka ei koskaan toimita liikennettä, näyttää ulkopuolelta samalta kuin suljettu portti.

Hyväksy yksityinen palvelu ja puhelinlinja yhdessä

Testaa aiottu toiminta LAN-isännältä, yksityisellä DNS:llä ja sovelluksen omilla tunnuksilla. Reititetty tunneli ei tee etäselaamisesta paikallisen Ethernet-segmentin kaltaista, joten löytäminen ja nimien selvitys tarvitsevat omat järjestelynsä.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Vahvista sitten, että tavallinen internet-yhteys toimii edelleen samalta isännältä ja että puhelimet ovat yhä rekisteröityinä; nämä kaksi tarkistusta nappaavat vahingossa tehdyn oletusreitin muutoksen, yleisimmän tavan, jolla tämä hanke rikkoo jotain, jota se ei koskaan aikonut koskea. Lopeta kirjalliseen palautusmuistioon: mikä laite pitää mitä roolia, varatut osoitteet ja miten etäprefiksin reitti poistetaan yhdellä askeleella. Yksityinen polku, joka voidaan vetää puhtaasti pois, on arvokkaampi kuin se, joka toimii vain tänään.