Conas polasaí faillí VPN a thógáil ar an ródaire gan sceitheadh

D'fheidhmigh an fhaillí go díreach mar a bhí cumraithe, agus ba é sin an fhadhb. Nuair a thit an príomhthollán, bhog an ródaire an bealach réamhshocraithe chuig an móideim chábla, lean na ríomhairí glúine ag brabhsáil, agus níor ghlaoigh éinne. Dhá lá ina dhiaidh sin thug duine éigin faoi deara go raibh an sciar airgeadais inrochtana tríd an mbealach oscailte idirlín ar feadh sé huaire. Ní cleas ródaithe é polasaí faillí VPN ar ródaire; is cinneadh é faoi cad ba cheart don trácht a dhéanamh nuair a bhíonn an bealach tosaíochta imithe, agus caithfidh an cinneadh sin a bheith ann sula n-imíonn an bealach.

Socraigh an toradh sula roghnaíonn tú an brathadóir

Is gnách go mbíonn trí thoradh ar an mbord: na cliaint atá buailte a sheoladh trí chúltollán, ligean dóibh an WAN rialta a úsáid, nó iad a bhlocáil go hiomlán. Scríobh síos cé acu a bhaineann le cé acu VLAN, SSID nó aicme gléis. Is é riail amháin chomhréidh “léim go WAN” an chúis ar tháinig an sciar airgeadais thuas ar bhealach poiblí.

Níl na trí rud in-idirmhalartaithe. Coinníonn fallback WAN deasc tacaíochta ag freagair fóin agus é ag nochtadh ainmneacha inmheánacha don réiteachóir áitiúil. Caomhnaíonn cúltollán an polasaí ach d'fhéadfadh sé teacht i dtír ar sheoladh amach nach nglacann an taobh eile leis. Tá blocáil ceart do VLAN párolla agus mícheart do ghréasán aíonna nár úsáid an tollán riamh.

Meaitseáil an brathadóir leis an teip a bhfuil eagla ort roimpi i ndáiríre

Is trí chomhartha éagsúla iad staid an chromáin, staid an chomhéadain agus an t-ardú inúsáidte, agus ní bhaineann ach an ceann deireanach le húsáideoir. Is féidir le piara WireGuard crann lámh a thaispeáint go déanach agus sruth uachtarach an tsoláthraí ag caitheamh paicéad isteach i bpoll dubh. OpenVPN féadfaidh an cliant fanacht ar “nasctha” tar éis don bhealach a bhrúigh sé stopadh de bheith ag réiteach.

Ar pfSense is é an socrú praiticiúil grúpa geataí a chothaítear le dpinger, a dhruideann seoladh monatóireachta agus a mharcálann geata mar síos nuair a théann caillteanas nó moill thar a thairseach. Dírightear an mhonatóireacht sin ar rud éigin taobh amuigh den tollán, mar óstach ar an LAN i bhfad i gcéin nó seoladh poiblí a shroicheann tú tríd. Má dhírítear ar sheoladh piara an tolláin féin é, tomhaistear an chuid a bhfuil a fhios agat cheana féin atá beo.

Tóg an grúpa ionas go bhfanfaidh an cúltaca mar an rogha dheireanach

Úsáid sraitheanna in ionad aon liosta comhaltaí comhréidh. Príomh i sraith 1, cúltollán i sraith 2, WAN i sraith 3 ach do na VLANanna a cheadaíonn a bpolasaí. I pfSense tá sé seo faoi System > Routing > Gateway Groups: cuir an dá gheata leis, tabhair sraitheanna éagsúla dóibh, socraigh Trigger Level go member down plus packet loss, sábháil, agus ansin cuir an grúpa i bhfeidhm mar réamhshocrú an chomhéadain nó i réimse Gateway na rialacha balla dóiteáin a dteastaíonn sé uathu.

Do chás cliaint OpenVPN ar pfSense 2.5 agus níos déanaí, cinneann socrú Default Gateway an cháis an n-ionadaíonn an tollán bealach réamhshocraithe an chórais ar chor ar bith. Ní iompraíonn ródú polasaí de réir rialach mar a bhfuil súil agat ach amháin nuair a bhíonn an bealach a ghlacann tú leis suiteáilte i ndáiríre. Seiceáil Status > Gateways tar éis an athraithe in ionad muinín a chur in íocón stádais an tolláin.

Déanann dhá shocrú an chuid is mó den bhflip. Ceann amháin is ea eatramh promhaidh atá níos giorra ná athchóineasú an tsoláthraí féin. Is é an ceann eile grúpa ina roinneann príomh agus cúltaca sraith, ionas go bhfanann an dá rud incháilithe i gcónaí. Cuir hysteresis leis trí thairseacha caillteanais agus moille sula mbraitheann d'úsáideoirí na haistrithe ar do shonsa.

Dún na bealaí nár leag an tollán riamh

Sceitheadh DNS ar dtús. Leanann an réiteachóir ag freagair ar an WAN agus ag cur amach tríthi, mar sin leanann ainmneacha ag réiteach tríd an ISP fad a bhíonn an trácht ceangailte den tollán. Cuir srian ar chomhéadain amuigh an réiteachóra, brúigh an réiteachóir inmheánach chuig cliaint, agus blocáil port 53 do gach rud eile ar na VLANanna VPN-amháin.

Teastaíonn a chinneadh féin ó IPv6. Is féidir le LAN dé-stac an tollán a chailleadh agus bealach réamhshocraithe domhanda IPv6 atá ag obair a choinneáil, mar sin is fearr le brabhsálaithe IPv6 agus téann siad amach tríd an WAN agus IPv4 ag breathnú go hiomlán cuimsithe. Buail IPv6 isteach sa tollán nó stop ag fógairt réimír dhomhanda fad a bhíonn an tollán síos. Tá leathpholasaí níos measa ná ceann ar bith, mar breathnaíonn sé amhail is go n-oibríonn sé.

Ansin an bealach fillte. Má úsáideann an t-imeacht cúltaca seoladh foinse difriúil, caithfidh an taobh eile a bheith ar eolas conas trácht a chur ar ais chuige, agus tá gach staid atá ceangailte den seoladh sean marbh cheana. Ní aistríonn seisiúin a bhí oscailte nuair a thit an príomh; fanann siad go dtí go n-éagann siad agus socraíonn an feidhmchlár cad a dhéanfaidh sé faoi.

Tástáil an titim, an flip agus an bealach ar ais

Tarraing amach an príomh le trácht neamhdhíobhálach ag rith, ansin léigh ceithre rud: Status > Gateways do stáideanna comhaltaí an ghrúpa, pfctl -ss do stáideanna atá fós ceangailte den sean-gheata, traceroute ó chliant don bhealach amach, agus ceist réiteachóra chun a fheiceáil cén freastalaí a d'fhreagair.

Anois déan flip air. Ardaigh an príomh ar feadh tríocha soicind, síos ar feadh tríocha, faoi dhó. Má leanann an trácht gach aistriú, tá na tairseacha ró-theann nó tá na sraitheanna mícheart. Deisigh é ar do sceideal féin, mar mura ndéanfaidh, déanfaidh soláthraí é ar a cheann féin.

Ar deireadh, deimhnigh gur féidir leat an ródaire a riar fós. Coinnigh bealach lasmuigh den bhanda mar chábla consóil, VLAN bainistíochta nó móideim cheallach. Is tástáil í tástáil faillí a ghlasálann amach thú nach féidir leat a chríochnú, agus ní féidir le ródaire dorochtana teacht ar ais leis féin.

Sula ndéarfá go bhfuil an polasaí críochnaithe, ba cheart duit ceithre cheist a fhreagairt gan teirminéal a oscailt: cé na VLANanna a fhéadfaidh an WAN a úsáid fad a bhíonn an tollán síos, cad a choinníonn an brathadóir súil air agus cá fhad a fhanann sé, cé na freastalaithe ainmneacha agus na bealaí IPv6 a ghluaiseann leis an mbealach, agus conas a fhaigheann tú isteach arís má theipeann ar an gcúltaca freisin. Má tá aon fhreagra “cibé a bhí réamhshocraithe”, baineann an polasaí fós leis an ródaire seachas leatsa.