Routeur VPN : LAN et WAN, ce qu’il faut noter avant d’acheter
Une étiquette VPN ne dit rien des VLAN, du basculement WAN ni des rôles de tunnel. Notez les capacités exactes du modèle et du micrologiciel que vous comptez déployer.
Traitez l’étiquette prêt pour le VPN comme une fonction parmi d’autres d’un appareil qui doit aussi router, segmenter et basculer en cas de panne, car l’étiquette ne dit rien du nombre de réseaux distincts que l’appareil peut héberger. Commencez par rédiger une fiche de capacités pour le modèle et le micrologiciel exacts, puis comparez cette fiche aux flux dont le site a besoin. Les pages marketing listent des prises ; elles listent rarement l’appartenance à un VLAN, la politique de basculement ou la portée du tunnel. La fiche prend une vingtaine de minutes et tranche la plupart des disputes d’achat avant l’arrivée du matériel.
Figez l’appareil exact avant tout le reste
Les noms de modèle traversent les générations de micrologiciel, et le même boîtier peut être livré avec un pilote de commutateur différent selon la version. Lisez l’identité de la carte sur l’appareil lui-même plutôt que sur le carton, afin que chaque affirmation ultérieure soit liée à quelque chose que vous pouvez reproduire. Une commande couvre le modèle, le nom de carte et la version du micrologiciel sous OpenWrt, et les écrans équivalents existent dans la plupart des micrologiciels professionnels.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseÉcrivez ces chaînes dans la fiche, jamais abrégées. Séparez ensuite la tâche de routage ordinaire de la tâche de tunnel. Un appareil qui achemine bien les paquets peut encore refuser de terminer un tunnel, et un appareil qui termine un tunnel peut n’avoir aucun moyen de garder deux réseaux locaux séparés. Traiter les deux comme une seule exigence masque l’écart jusqu’à ce que l’unité soit déjà montée en baie, configurée et à moitié approuvée.
Notez la structure du LAN, pas le nombre de ports
Quatre prises signifient généralement un seul commutateur, et un commutateur signifie un seul domaine de diffusion, sauf si des VLAN sont configurés. C’est très bien pour un réseau domestique à plat et faux pour un site qui veut un segment invité, un segment de gestion et un segment caméras isolé sur le même appareil. Notez quels ports appartiennent à quel VLAN, quels VLAN atteignent le processeur et quelles interfaces portent des adresses.
Là où le micrologiciel propose des VLAN, la liste des interfaces décide combien de politiques distinctes vous pouvez écrire. Un VLAN défini sur le commutateur mais jamais affecté comme interface n’a ni adresse ni zone de pare-feu, il ne peut donc rien imposer à lui seul.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Lisez l’état du commutateur plutôt que de faire confiance au menu. Sur les anciennes cibles OpenWrt, l’outil de commutateur imprime les appareils configurés, et sur les cibles DSA les outils de pont rapportent les mêmes faits par port, c’est pourquoi la version du micrologiciel appartient à la fiche.
Notez le comportement du WAN et du basculement
La méthode d’accès, la propriété de l’adresse et l’ordre de basculement tiennent sur une ligne par liaison montante, car un tunnel qui survit à un changement de WAN dépend des trois. Une session PPPoE se reconnecte avec une nouvelle adresse et fait tomber le tunnel avec elle, tandis qu’une liaison montante DHCP qui conserve son bail peut ne pas le faire.
Le basculement demande aussi une décision de politique. Envoyer tout le trafic sur la liaison de secours est facile ; garder le tunnel sur la liaison principale pendant que le trafic web ordinaire utilise la secours exige du routage par politique, et tous les micrologiciels ne l’exposent pas. Notez si le tunnel est lié à une seule liaison montante et ce que l’appareil fait des sessions établies quand cette liaison disparaît. Conservez la table de routage comme preuve, pas la case de basculement.
Testez un flux autorisé et un flux refusé
La fiche ne vaut la peine d’être conservée que si l’appareil peut être accepté d’après elle. Choisissez un flux qui doit fonctionner, un qui ne doit pas, et exécutez les deux depuis un client sur le segment concerné. Un tunnel qui transporte tous les sous-réseaux est un échec quand l’exigence était un seul sous-réseau.
Confirmez ensuite le refus, car un réglage par défaut permissif est la surprise habituelle. Le segment invité ne doit pas atteindre l’adresse de gestion, et le contrôle doit montrer un délai d’attente ou un refus plutôt qu’une page de connexion.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Si le flux autorisé fonctionne et que le flux refusé fonctionne aussi, la segmentation manque même si les menus suggéraient le contraire. Si les deux échouent, la portée du tunnel ou le chemin de retour est faux, et la fiche WAN explique généralement lequel. Gardez les deux résultats avec la fiche de capacités pour que le prochain relecteur voie ce qui a été accepté, sur quel micrologiciel et à quelle date.