VPN-reititin: LAN ja WAN – mitä kirjata ennen ostoa
VPN-tarra ei kerro mitään VLANeista, WAN-vikasietoisuudesta tai tunnelien rooleista. Kirjaa tarkat ominaisuudet mallille ja laiteohjelmistolle, jonka aiot ottaa käyttöön.
Kohtele VPN-valmis-tarraa yhtenä ominaisuutena laitteessa, jonka on myös reititettävä, segmentoitava ja vaihdettava vikatilanteessa, sillä tarra ei kerro mitään siitä, kuinka monta erillistä verkkoa laite voi pitää. Aloita kirjoittamalla ominaisuusrekisteri tarkalle mallille ja laiteohjelmistolle ja vertaa sitä sitten virtauksiin, joita kohde tarvitsee. Markkinointisivut listaavat liittimiä; ne listaavat harvoin VLAN-jäsenyyttä, vikasietopolitiikkaa tai tunnelin laajuutta. Rekisteri vie noin kaksikymmentä minuuttia ja ratkaisee useimmat ostokiistat ennen laitteiston saapumista.
Kiinnitä tarkka laite ennen kaikkea muuta
Mallinimet kulkevat laiteohjelmistosukupolvien yli, ja sama kotelo voidaan toimittaa eri kytkinajurilla julkaisusta riippuen. Lue piirilevyn identiteetti laitteesta itsestään eikä pahvilaatikosta, jotta jokainen myöhempi väite sidotaan johonkin, jonka voit toistaa. Yksi komento kattaa mallin, piirilevyn nimen ja laiteohjelmiston julkaisun OpenWrt:ssä, ja vastaavat näytöt ovat useimmissa yritysohjelmistoissa.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseKirjoita ne merkkijonot rekisteriin, koskaan lyhennettyinä. Erota sitten tavallinen reititystyö tunnelityöstä. Laite, joka välittää paketteja hyvin, voi silti kieltäytyä päättämästä tunnelia, ja tunnelin päättävällä laitteella ei ehkä ole keinoa pitää kahta paikallista verkkoa erillään. Jos ne käsitellään yhtenä vaatimuksena, ristiriita piiloutuu, kunnes laite on jo asennettu telakkaan, konfiguroitu ja puoliksi luotettu.
Kirjaa LAN-rakenne, ei porttien määrää
Neljä liitintä tarkoittaa yleensä yhtä kytkintä, ja kytkin tarkoittaa yhtä lähetysaluetta, ellei VLANeja ole konfiguroitu. Se sopii litteään kotiverkkoon ja on väärin kohteelle, joka haluaa vierassegmentin, hallintasegmentin ja eristetyn kamerasegmentin samaan laitteeseen. Kirjaa, mitkä portit kuuluvat mihinkin VLANiin, mitkä VLANit saavuttavat suorittimen ja mitkä liitännät kantavat osoitteita.
Missä laiteohjelmisto tarjoaa VLANeja, liitäntäluettelo ratkaisee, kuinka monta erillistä käytäntöä voit kirjoittaa. VLAN, joka on määritelty kytkimessä mutta jota ei koskaan osoitettu liitännäksi, ei sisällä osoitetta eikä palomuurivyöhykettä, joten se ei voi valvoa mitään yksinään.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Lue kytkimen tila sen sijaan, että luottaisit valikkoon. Vanhemmissa OpenWrt-kohteissa kytkintyökalu tulostaa konfiguroidut laitteet, ja DSA-kohteissa siltatyökalut raportoivat samat tosiasiat porttikohtaisesti, minkä vuoksi laiteohjelmiston julkaisu kuuluu rekisteriin.
Kirjaa WAN- ja vikasietokäyttäytyminen
Käyttötapa, osoitteen omistus ja vikasietojärjestys kuuluvat yhdelle riville ylävirran linkkiä kohden, koska WAN-muutoksen yli selviytyvä tunneli riippuu kaikista kolmesta. PPPoE-istunto yhdistää uudelleen uudella osoitteella ja pudottaa tunnelin mukanaan, kun taas vuokransa säilyttävä DHCP-ylävirta ei ehkä tee niin.
Vikasieto vaatii myös käytäntöpäätöksen. Kaiken liikenteen lähettäminen varalinkille on helppoa; tunnelin pitäminen ensisijaisella, kun tavallinen verkkoliikenne käyttää varalinkkiä, vaatii käytäntöreititystä, eikä jokainen laiteohjelmisto tarjoa sitä. Merkitse, onko tunneli sidottu yhteen ylävirran linkkiin ja mitä laite tekee muodostetuille istunnoille, kun se linkki katoaa. Tallenna reititystaulukko todisteena, älä vikasietojen valintaruutua.
Testaa yksi sallittu ja yksi estetty virtaus
Rekisteri kannattaa pitää vain, jos laite voidaan hyväksyä sitä vastaan. Valitse yksi virtaus, jonka on toimittava, yksi, joka ei saa toimia, ja aja molemmat asiakkaalta kyseisessä segmentissä. Tunneli, joka kuljettaa jokaisen aliverkon, on epäonnistuminen, kun vaatimus oli yksi aliverkko.
Vahvista sitten esto, sillä salliva oletusarvo on tavallinen yllätys. Vierassegmentti ei saa saavuttaa hallintaosoitetta, ja tarkistuksen pitäisi näyttää aikakatkaisu tai hylkäys eikä kirjautumissivua.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Jos sallittu virtaus toimii ja estetty virtaus toimii myös, segmentointi puuttuu, vaikka valikot vihjasivat muuta. Jos molemmat epäonnistuvat, tunnelin laajuus tai paluupolku on väärä, ja WAN-rekisteri yleensä selittää kumpi. Pidä kaksi tulosta ominaisuusrekisterin kanssa, jotta seuraava arvioija näkee, mitä hyväksyttiin, millä laiteohjelmistolla ja minä päivänä.