Foegje in site-VPN njonken de ISP-router ta sûnder petearden te brekken

De measte lytse sites hawwe al ien kast dy’t internet, DHCP en de stimline docht, en dy kast sil jo sitetunnel net rinne. In twadde gateway foar it privee paad tafoegje wurket, as jo foardat jo in kabel oanreitsje beslute wa’t elke rûte hat. It echte risiko is net de tunnel; it is stilwei it apparaat feroarje dat de telefoans registrearre hâldt. Doch de fiif kontrôles yn folchoarder en stop wêr’t ien mislearret.

Skriuw de rollen op dy’t al wurkje

Skriuw de standertgateway, de DHCP-tsjinner, de resolvers en it apparaat mei de stimregistraasje fan de provider op. Yn dit foarbyld is de ISP-router 10.50.0.1, de nije gateway sil 10.50.0.2 wêze en de fiere site is 10.60.0.0/24. Neat yn dat plan feroaret de earste trije rollen, en dat is krekt it punt. Befêstigje dan dat it twadde kast jo tunnel echt einige kin: sjoch nei it protokol, de ferwachte trochfier en oft it firmware- of pakketfernijingen krijt. In apparaat mei in VPN-logo en sûnder fernijingspaad is in lêst, gjin oanfolling.

As jo net sizze kinne wa’t de stimtsjinst hat, stopje. It feroarjen fan de router mei in registraasje sûnder weromdraaiplan makket fan in VPN-projekt in telefoanstoring.

Jou de nije gateway ien adres en ien taak

Reservjearje syn LAN-adres bûten de DHCP-pool sadat it nei in werstart net ferskood, en jou it gjin eigen standertrûte, of jo moatte wolle dat it in internetpaad wurdt. Syn taak is de tunnel hâlde en antwurdzje foar fiere prefiksen. Op de LAN-hosts dy’t de fiere site berikke moatte, bewize hokker paad se no nimme en hokker jo dêrnei wolle; deselde twa opdrachten foar en nei binne it goedkeapste bewiis.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

As de syktocht de ISP-router weromjout en de traceroute stjert by de internetrâne, hat de host noch gjin fier paad, wat ferwachte is. Jout it eat ûnferwachts werom, los dat earst op, want elke lettere stap giet fan dizze basis út.

Kies wa’t de rûte fan it fiere prefiks hat

Opsje A is de ISP-router: dy hâldt in statyske rûte foar 10.60.0.0/24 nei de gateway, en elke host folget syn standertgateway lykas earder. Opsje B is per host: allinne de masines dy’t de fiere site nedich hawwe krije in eksplisite rûte fia 10.50.0.2, en al it oare bliuwt ûnoantaast. A is skjinner by in protte hosts, mar freget meastentiids dat de router fan de provider in statyske rûte akseptearret, wat guon net dogge. B freget gjin gearwurking fan de provider, mar lit it ûnderhâld fan de hostkonfiguraasje by jo, dus it past by in lytse goedkarde set masines.

Yn beide gefallen moat de weromrûte bestean. Komt in fier antwurd by de gateway en stjoert de gateway it rjochtstreeks nei in LAN-host, dan slacht it ferkear de firewallstatus oer dy’t de ISP-router op it hinne paad hâlde. As de gateway net de standertrouter fan it LAN is, is dy asymmetry in ûntwerpbeslissing, gjin flater dy’t jo negearje kinne.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Meitsje de yngong permanint fia de konfiguraasje-eigener fan de host, net fia in oanmeldskript. In rûte dy’t allinne bestiet neidat immen oanmeld is, sil de earste kear mislearje as de masine om in net besibbe reden werstartet.

Regele in berikber ynkommend punt

De gateway hat in adres nedich dat de fiere site berikke kin. Efter de ISP-router betsjut dat in portfoarstjoering of in DMZ-yngong, en beide hingje derfan ôf oft de provider it ferkear echt leveret. In lokale foarstjoering kin NAT op operatornivo by de provider net oerwinne. Jout de provider gjin berikber punt, draai dan de rjochting om: lit beide sites inisjatyf nimme nei in hub dy’t jo beheare. Dat is in jildich ûntwerp, mar it foeget in tredde ôfhinklikheid ta foar foarstjoering, fertrouwen en beskikberens, en dynamyske DNS ferfangt dat net.

Befêstigje de foarstjoering mei in opname op de gateway, net mei in webside dy’t poarten skant. Skanners melde de poarte ticht oant de listener bûn is, en in foarstjoering dy’t nea ferkear leveret liket fan bûten itselde as in tichte poarte.

Akseptearje de privee tsjinst en de stimline tegearre

Test de bedoelde wurking fan in LAN-host, mei privee DNS en de eigen oanmeldgegevens fan de applikaasje. In rûtearre tunnel makket fier surfen net as in lokaal Ethernet-segment, dus ûntdekking en namme-oplossing hawwe eigen regelingen nedich.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Befêstigje dêrnei dat gewoane internettagong fan deselde host noch wurket en dat de telefoans noch registrearre binne; dy twa kontrôles fange in tafallige feroaring fan de standertrûte, de meast foarkommende manier wêrop dit projekt eat brekt dat it nea oanreitsje woe. Einigje mei in skreaune werstelnotysje: hokker apparaat hokker rol hat, de reservearre adressen en hoe’t jo de rûte fan it fiere prefiks yn ien stap fuorthelje. In privee paad dat skjin weromlutsen wurde kin is mear wurdich as ien dat allinne hjoed wurket.