VPN-klanten en it LAN: wannear in aparte sône brûke

It tunnelinterface yn 'e LAN-sône pleatse is de koartste wei nei in wurkjende VPN, en it is meastal de ferkearde standert. It jout de klant op ôfstân itselde fertrouwen as it keabelde LAN, wat de taak selden freget. In aparte sône kostet in pear regels en makket de grins sichtber. De beslissing is net of sônes better binne; it is hokker trije betingsten op jo netwurk fan tapassing binne.

De namme fan 'e sône fersiferet neat en autentisearret gjin brûker. It groepearret allinnich ynterfaces foar it beliedsmodel fan 'e brânmuorre.

Wat sônelidmaatskip echt regelet

In sône groepearret ynterfaces of ferkear ûnder it model fan 'e brânmuorre. De ynfier-, útfierynstellings en trochstjoerynstellings dêrfan regelje dêrnei ferskillende rollen. Ynfier is ferkear nei de router sels; trochstjoeren is ferkear der trochhinne nei in oare host. De dokumintaasje fan OpenWrt oer sônes behannelet ynfier, útfier en trochstjoeren krekt dêrom as aparte ynstellings.

In tastimming fan 'e VPN-sône nei de LAN-sône is net automatysk in omkearde tastimming. Trochstjoerregels hawwe in rjochting, en in regel dy't ferkear fan klant nei tsjinner tastiet, lit gjin sesjes fan tsjinner nei klant ta. In klant dy't in ferbining nei in tsjinner iepenje kin, is gjin klant dêr't de tsjinner in ferbining wer nei iepenje kin.

Dat ûnderskie is de reden wêrom in aparte sône nuttich is: jo kinne elke rjochting en elke rol eksplisyt oantsjutte. Skriuw de rjochting njonken elke regel.

Beslissing ien: ynfier, trochstjoeren of beide

At klanten op ôfstân DNS fan 'e router nedich hawwe, lit dan ynfier allinnich foar dy tsjinst ta. At se in bestânstsjinner berikke moatte, lit dan trochstjoeren nei dat doel ta. De measte VPN-ûntwerpen hawwe beide nedich, mar foar ferskillende tsjinsten.

Brede ynfiertagong ta elke pleatslike tsjinst is hast nea nedich. Behannel routerbehear as in aparte beslissing fan tagong ta applikaasjes. At de router allinnich DNS beäntwurdzje moat, skriuw dan dy iene tastimming en lit de rest ticht.

Beslissing twa: hokker boarnen klanten op ôfstân nedich hawwe

List de klantberikken, de doelen en de tsjinsten op dy't de VPN leverje moat foardat jo regels skriuwe. In doellist is nuttiger as in fertrouwenslabel, want it oerlibbet in migraasje fan 'e brânmuorre.

Hâld behearynterfaces apart fan gewoane tagong ta applikaasjes. In klant op ôfstân dy't in wiki berikke kin, hat dêrmei noch net de admin-side fan 'e router of de konsole fan 'e hypervisor nedich.

At in tastien doel fierder trochstjoere kin, stopet de grins fan 'e sône by de brânmuorre, net by wat it doel dêrnei docht.

Beslissing trije: hoe't jo de grins bewize sille

Test nei elke feroaring in tastiene stream en ien dy't mei opsetsin wegere wurdt. Bewize dat ien webside lade, iepenbieret gjin ûnbedoelde brede tastimming. Test fan it adresberik fan 'e VPN-klant, net fan it LAN, en nim de rjochting op dy't jo ferwachtsje dat mislearret. Skriuw beide resultaten njonken de regel.

Behâld de wersteltoegong fan 'e gateway foardat jo it belied fan 'e sône op ôfstân feroarje. Brûk de oanhâldende behearde konfiguraasje ynstee fan bewurkings by it draaien, oars sil de folgjende werstart it âlde fertrouwen werombringe. In kopy fan 'e foarige konfiguraasje, bûten it apparaat bewarre, is de goedkeapste weromset dy't jo ea hawwe sille.

At it netwurk groeit, dokumintearje dan it lidmaatskip en it doel fan 'e regels. In nij oansletten ynterface moat gjin foarrjochten ervje allinnich om't immen it in handich sônenamme joech.