Cuir VPN suímh le taobh ródaire an ISP gan glaonna a bhriseadh

Tá bosca amháin ag formhór na suíomhanna beaga cheana a dhéanann an t-idirlíon, DHCP agus an líne ghutha, agus ní dhéanfaidh an bosca sin do thollán suímh. Oibríonn sé an dara geata a chur leis don chosán príobháideach, má shocraíonn tú cé atá ina shealbhóir ar gach bealach sula mbaineann tú le cábla. Ní hé an tollán an fíor-riosca; is é an gléas a choinníonn na fóin cláraithe a athrú go ciúin. Déan na cúig sheiceáil in ord agus stop san áit a dteipeann ar cheann.

Scríobh síos na róil atá ag obair cheana

Taifead an geata réamhshocraithe, an freastalaí DHCP, an réiteoir agus an gléas a bhfuil clárú gutha an tsoláthraí air. San sampla seo is é ródaire an ISP 10.50.0.1, beidh an geata nua ag 10.50.0.2, agus tá an suíomh cianda ag 10.60.0.0/24. Ní athraíonn aon rud sa phlean sin na chéad trí róil, agus is é sin an pointe. Ansin deimhnigh gur féidir leis an dara bosca an tollán a fhoirceannadh: féach ar an bprótacal, ar an tréchur a bhfuiltear ag súil leis, agus ar a bhfaigheann sé nuashonruithe firmware nó pacáiste. Is ualach é gléas le lógó VPN agus gan bealach nuashonraithe, ní breis.

Mura féidir leat a rá cé atá ina shealbhóir ar an tseirbhís ghutha, stop. Má athraíonn tú an ródaire a bhfuil clárú air gan plean aischuir, déantar de thionscadal VPN briseadh fón.

Tabhair aon seoladh amháin agus aon tasc amháin don gheata nua

Cuir a sheoladh LAN in áirithe lasmuigh den linn DHCP ionas nach mbogfaidh sé tar éis atosaithe, agus ná tabhair aon bhealach réamhshocraithe dó féin mura mian leat go mbeadh sé ina chosán idirlín. Is é a thasc an tollán a choinneáil agus freagra a thabhairt ar réimírí cianda. Ar na hóstaigh LAN a chaithfidh an suíomh cianda a shroicheadh, cruthaigh cén bealach a thógann siad anois agus cé acu a theastaíonn uait tar éis an athraithe; is iad an dá ordú chéanna roimh agus tar éis an fhianaise is saoire.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Má thugann an cuardach ródaire an ISP ar ais agus má fhaigheann an traceroute bás ag imeall an idirlín, níl bealach cianda ag an óstach fós, rud a bhfuiltear ag súil leis. Má thugann sé rud gan choinne ar ais, réitigh é sin ar dtús, mar go dtógann gach céim ina dhiaidh sin an bonn seo mar bhunús.

Roghnaigh cé atá ina shealbhóir ar bhealach an réimír chianda

Is é rogha A ródaire an ISP: coinníonn sé bealach statach do 10.60.0.0/24 i dtreo an gheata, agus leanann gach óstach a gheata réamhshocraithe mar a rinne sé roimhe. Is é rogha B in aghaidh an óstaigh: ní fhaigheann ach na meaisíní a bhfuil an suíomh cianda ag teastáil uathu bealach sainráite trí 10.50.0.2, agus fanann gach rud eile gan teagmháil. Tá A níos glaine le go leor óstach, ach de ghnáth éilíonn sé go nglacfadh ródaire an tsoláthraí le bealach statach, rud nach ndéanann cuid acu. Ní gá do B comhoibriú an tsoláthraí, ach fágann sé cothabháil chumraíocht na n-óstach agat, mar sin oireann sé do ghrúpa beag meaisíní ceadaithe.

Sa dá chás caithfidh an treo fillte a bheith ann. Má thagann freagra cianda chuig an ngeata agus má sheolann an geata é go díreach chuig óstach LAN, téann an trácht thar staid an bhalla dóiteáin a choinnigh ródaire an ISP ar an mbealach amach. Nuair nach é an geata ródaire réamhshocraithe an LAN, is cinneadh dearaidh an neamhshiméadracht sin, ní fabht is féidir a neamhaird.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Déan an iontráil buan trí úinéir chumraíocht an óstaigh, ní trí script logála isteach. Teipfidh ar bhealach nach bhfuil ann ach tar éis do dhuine logáil isteach an chéad uair a atosaítear an meaisín ar chúis neamhghaolmhar.

Socraigh pointe iontrála inrochtana

Teastaíonn seoladh ón ngeata a bhféadfaidh an suíomh cianda é a shroicheadh. Taobh thiar de ródaire an ISP ciallaíonn sé sin atreorú poirt nó iontráil DMZ, agus braitheann an dá rud ar an soláthraí an trácht a sheachadadh i ndáiríre. Ní féidir le hatreorú áitiúil NAT ar leibhéal an iompróra a shárú ar thaobh an tsoláthraí. Mura dtugann an soláthraí pointe inrochtana, aisiompaigh an treo: lig don dá shuíomh tús a chur i dtreo mol a rialaíonn tú. Is dearadh bailí é, ach cuireann sé tríú spleáchas leis don atreorú, don mhuinín agus don infhaighteacht, agus ní thagann DNS dinimiciúil ina ionad.

Deimhnigh an t-atreorú le gabháil ag an ngeata, ní le suíomh gréasáin a scanálann poirt. Tuairiscíonn scanóirí go bhfuil an port dúnta go dtí go gceanglaítear an t-éisteoir, agus tá cuma an phoirt dúnta ón taobh amuigh ar atreorú nach seachadann trácht riamh.

Glac leis an tseirbhís phríobháideach agus an líne ghutha le chéile

Tástáil an oibríocht bheartaithe ó óstach LAN, le DNS príobháideach agus dintiúirí na feidhmchláir féin. Ní dhéanann tollán ródáilte aithris ar an mbrabhsáil chianda mar mhír Ethernet áitiúil, mar sin teastaíonn socruithe dá gcuid féin ón bhfionnachtain agus ón réiteach ainmneacha.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Ansin deimhnigh go n-oibríonn rochtain idirlín rialta ón óstach céanna fós agus go bhfuil na fóin cláraithe fós; gabhann an dá sheiceáil sin athrú timpiste ar an mbealach réamhshocraithe, an bealach is coitianta a bhriseann an tionscadal seo rud nár theastaigh uaidh a bhaint de. Críochnaigh le nóta aisghabhála scríofa: cé acu gléas a choinníonn cé acu ról, na seoltaí curtha in áirithe, agus conas an bealach réimíre cianda a bhaint in aon chéim amháin. Is fiú níos mó cosán príobháideach is féidir a tharraingt siar go glan ná ceann nach n-oibríonn ach inniu.