VPN-router: LAN en WAN — wat foarôf fêst te lizzen by de oankeap
In VPN-label seit neat oer VLAN's, WAN-failover of tunnelrollen. Skriuw de krekte mooglikheden op foar it model en de firmware dat jo fine te ynpakken.
Behannelje in VPN-gereed-label as ien eigenskip fan in kast dêr't ek op rûte, segmintearje en by fouten oerskeakelje moat, want it label seit neat oer hoefolle aparte netwurken it apparaat hâlde kin. Begjin mei it skriuwen fan in mooglikheidsdossier foar it krekte model en de firmware, en ferlykje dat dossier dan mei de flows dy't it plak nedich hat. Marketing siden listje sokken op; se listje selden VLAN-lidmaatskip, oerskeakelbelied of tunnelomfang. It dossier duorret sawat tweintich minuten en beslist de measte oankeapdiskussjes foardat de hardware oankomt.
Fêstigje it krekte apparaat foar al it oare
Modelnammen reizgje oer firmware-generaasjes, en deselde kast kin by ferskillende releases mei in oare switchdriver levere wurde. Lês de boardidentiteit fan it apparaat sels yn stee fan fan it karton, sadat elke lettere bewearing bân is oan eat dat jo werjaan kinne. Ien opdracht omfettet model, boardnamme en firmware-release op OpenWrt, en de lykweardige skermen besteane yn de measte saaklike firmwares.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseSkriuw dy tekenrigels yn it dossier, nea ferkoarte. Skied dan de gewoane routingtaak fan de tuneltaak. In apparaat dat pakketten goed trochjout, kin noch warskôgje om in tunnel te beëinigjen, en in apparaat dat in tunnel beëiniget, hat miskien gjin manier om twa pleatslike netwurken apart te hâlden. As jo dy as ien eask behannelje, ferberget de misferhâlding him oant de ienheid al yn it rek monteard, konfigurearre en heal fertroud is.
Skriuw de LAN-struktuer op, net it poartoantal
Fjouwer sokken betsjutte meastentiids ien switch, en in switch betsjut ien broadcastdomein, útsein as VLAN's konfigurearre binne. Dat is goed foar in flak thúsnetwurk en ferkeard foar in plak dat in gastsegmint, in behearsegmint en in isolearre kamerasearmint op deselde kast wol. Skriuw op hokker poarten by hokker VLAN hearre, hokker VLAN's de prosessor berikke en hokker ynterfaces adressen drage.
Dêr't de firmware VLAN's biedt, beslút de ynterfacelist hoefolle aparte beliedden jo skriuwe kinne. In VLAN dat op de switch definiearre is mar nea as ynterface tawiisd is, hat gjin adres en gjin firewall-sône, dat it kin op himsels neat ôftwinge.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Lês de switchstatus yn stee fan it menu te fertrouwen. Op âldere OpenWrt-doelen prints it switchark de konfigurearre apparaten, en op DSA-doelen rapportearje de brêgearjen deselde feiten per poarte, dêrom heart de firmware-release yn it dossier.
Skriuw it WAN- en failover-gedrach op
Tagongsmetoade, adresbesit en failover-oarder hearre op ien rigel per uplink, want in tunnel dy't in WAN-feroaring oerlibbet, hinget fan alle trije ôf. In PPPoE-sesje ferbynt wer mei in nij adres en lit de tunnel dêrmei falle, wylst in DHCP-uplink dy't syn lease hâldt dat miskien net docht.
Failover freget ek in beliedsbeslissing. Alle ferkear nei de reserveferbining stjoere is maklik; de tunnel op de primêre hâlde wylst gewoan webfekear de reserve brûkt, freget beliedsrouting, en net elke firmware biedt dat. Skriuw op oft de tunnel oan ien uplink bûn is en wat it apparaat mei fêstige sesjes docht as dy uplink ferdwynt. Bewarje de routingtabel as bewiis, net it failover-fakje.
Test ien tastien en ien wegere flow
It dossier is allinnich de muoite wurdich as it apparaat dertsjin akseptearre wurde kin. Kies ien flow dy't wurkje moat, ien dy't dat net mei, en rinn beide fan in klant op it oanbelangjende segmint. In tunnel dy't elk subnet draacht, is in mislearring as de eask ien subnet wie.
Befêstigje dan de wegering, want in tasteanbere standert is de gewoane ferrassing. It gastsegmint mei it behearsadres net berikke, en de kontrôle heart in timeout of wegering te toanen yn stee fan in oanmeldside.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1As de tastiene flow wurket en de wegere flow ek, dan ûntbrekt segmintearring, sels as de menu's oars suggerearren. As beide mislearje, is it tunnelomfang of it werompaad ferkeard, en it WAN-dossier ferklearret meastentiids hokker. Hâld de twa resultaten by it mooglikheidsdossier, sadat de folgjende beoardieler sjocht wat akseptearre is, op hokker firmware en op hokker datum.