Toinen reititin VPN-porttina: mitä se ei ratkaise
Toinen reititin antaa valituille laitteille eri uloskäynnin. Se ei poista kaksois-NAT:ia, korjaa paikallista löytämistä eikä ylläpidä itseään tunnelin petettyä.
Toisen reitittimen sijoittaminen pääreitittimen taakse on siisti tapa antaa muutamalle laitteelle eri uloskäynti. Se on myös paikka, jossa ihmiset odottavat enemmän eristystä kuin laite tarjoaa. Pääverkko pitää tavallisen polkunsa, ja alavirran verkko noudattaa toisen reitittimen käytäntöä. Se, mitä niiden välillä tapahtuu, ja se, mitä tapahtuu tunnelin pettäessä, on suunnittelun arvoinen osa.
Asetelma toimii. Myytit koskevat sitä, miltä se suojaa. Se on edelleen hyödyllinen suunnittelu; se ei vain ole itsessään turvaraja.
Myytti: toinen reititin eristää tunnelin täysin
Toisen portin takana olevat laitteet noudattavat sen käytäntöä. Pääverkon laitteet eivät peri tätä tunnelia, ja se on tarkoitus. Mutta toisella reitittimellä on edelleen ylävirran polku ensimmäisen kautta, ja se polku on suhde, jota sinun on hallittava.
Toinen reititin tarvitsee myös VPN-asiakasprofiilin. Ominaisuus, joka hyväksyy vain saapuvia VPN-yhteyksiä, ei luo lähtevää tunnelia palveluntarjoajalle. Tarkista laiteohjelmiston asiakastuki ennen laitteiston ostamista.
Anna alavirran verkolle aliverkko, joka ei mene päällekkäin. Esimerkkialueen kopioiminen tarkistamatta olemassa olevia verkkoja on luotettava tapa luoda reitityspulma.
Myytti: kaksois-NAT on vain VPN:n kapselointi
Kaksi reititettyä porttia voivat luoda kaksois-NAT:n, ja se on erillinen VPN:n omasta kapseloinnista. Tavallinen lähtevä liikenne toimii yleensä. Saapuva palvelukäyttö vaatii tarkoituksellisen suunnittelun, usein portin edelleenohjauksen molemmissa laitteissa tai täysin erilaisen lähestymistavan.
Ylimääräinen käännöskerros vaikeuttaa myös lokien lukemista. Pääreitittimen lokissa oleva lähiosoite voi kuulua toiselle reitittimelle eikä laitteelle, jota korjaat. Se kannattaa tietää ennen kuin jahtaat kummituslaitetta.
Kirjoita osoitesuunnitelma ennen kuin kytket mitään päälle.
Myytti: löytäminen ylittää rajan, koska molemmat LANit selaavat hyvin
Molemmat verkot voivat selata internetiä, vaikka niiden välinen löytäminen epäonnistuu. Pää-Wi-Fi:ssä oleva puhelin ei välttämättä löydä VPN-portin takana olevaa televisiota, koska multicast-löytäminen ei oletuksena ylitä reititettyä rajaa. Jos sillä on väliä, tarvitset heijastimen tai erilaisen topologian. Selauksen onnistuminen ei ole todiste paikallisesta löytämisestä.
Pidä toisen reitittimen hallintaliittymä tavoitettavissa valtuutetusta polusta julkaisematta sitä WAN-verkossa. Tallenna molempien porttien kokoonpano ennen reittien muuttamista.
Testaa DNS ja IPv6 sekä näkyvä lähtöosoite. Tunnel, joka kuljettaa vain IPv4:tä, voi vuotaa toisen perheen. Kirjoita molemmat tulokset muutoslokiin.
Mitä toinen portti todella antaa sinulle
Se tekee laajuudesta näkyvän. Voit osoittaa yhtä laitetta ja sanoa, mikä verkko seuraa tunnelia, ja kotitalous pitää tavallisen polkunsa. Se selkeys on monille kodeille ylimääräisen laitteiston arvoista.
Se on edelleen yksi ylläpidettävä laite, jossa on tunnukset, laiteohjelmisto ja palautusprosessi. Päätä, pitäisikö alavirran laitteiden pysähtyä vai palata, kun VPN pettää, ja testaa tätä käyttäytymistä. Portti ei poista operatiivista työtä; se keskittää sen. pfSense WireGuard -asiakasohje kattaa tunnelin puolen yhdellä yleisellä alustalla.