Laboratorio doméstico con túnel dividido: encamiña o que necesitas, non todo

O consello de que un laboratorio doméstico necesita un túnel completo adoita vir dun titorial que tiña un, non dun requisito. O túnel dividido non é a versión comprometida dun VPN correcto; é a versión cuxa táboa de rutas podes explicar. Un laboratorio con cinco servizos e unha interface de xestión non necesita que cada paquete que sae da casa atravese un túnel. O que necesita é un inventario e unha ruta para cada elemento dese inventario.

O mito: o túnel dividido é un compromiso

O mito sobrevive porque un túnel completo é máis fácil de configurar unha vez e máis difícil de depurar despois. Ese intercambio é razoable para un portátil en Wi-Fi pública e erróneo para un rack no soto.

Tamén agocha unha segunda suposición: que o direccionamento do laboratorio non ten nada en común coa rede desde a que te conectas.

Fai inventario dos recursos antes das rutas

Anota cada subrede do laboratorio, o servizo que vive alí, o nome co que a resolves e quen ten permiso para chegar a ela; as notas de reenvío da túa pasarela describen o camiño de volta contra o que planificas. Engade os rangos de contedores e os rangos de LAN que o cliente remoto quizais xa use, porque o solapamento é o fallo que este inventario evita. Unha ruta que cobre cada enderezo privado chocará cunha rede doméstica tarde ou cedo. O inventario é tamén o plan de probas, por iso paga a pena facelo antes da configuración e non despois.

Asigna a cada recurso unha ruta: polo túnel, directa ou denegada. Un recurso sen ruta asignada é o que xera despois a pregunta de soporte confusa.

Cinco filas e unha columna de decisións superan unha táboa de rutas que ninguén pode ler.

A pasarela necesita un camiño de volta

O reenvío na pasarela é só a metade. O laboratorio necesita unha ruta de volta ao grupo de clientes, ou unha disposición de tradución admitida que faga posible o retorno. Se as respostas non atopan o cliente, o túnel parece conectado e cada petición esgota o tempo; iso é un síntoma de encamiñamento, non un fallo do VPN. Verifica o camiño de volta como parte do deseño, non como un paso de resolución de problemas.

Un grupo de clientes que se solapa co direccionamento propio do laboratorio é a outra metade deste problema, e falla exactamente igual.

Corrixe o plan, non os síntomas, cando os dous rangos chocan.

Os papeis de xestión e internet son separados

Decide se só o tráfico do laboratorio usa o túnel ou se tamén se converte nunha saída a internet. Non engadas unha ruta por defecto só porque un titorial usou unha, porque esa decisión cambia onde vai cada consulta DNS e cada comprobación de actualizacións. Conserva un camiño exterior ata o propio punto final do VPN, ou o túnel tentará levar a súa propia conexión exterior. Mantén o acceso de xestión estreito e alcanzable mediante un método de recuperación aprobado.

Pódese escoller un DNS privado para os nomes do laboratorio sen supoñer que cada consulta pública necesita o mesmo resolvedor. Iso é unha decisión de resolvedor, non unha decisión de ruta.

Mantelos separados é o que fai que os modos de fallo se distingan despois.

Proba desde fóra, non desde a LAN

Usa unha conexión externa autorizada en lugar dunha proba desde a mesma LAN, porque unha proba desde a mesma LAN pode ocultar por completo unha ruta de volta ausente. Verifica un enderezo do laboratorio, o seu nome de host privado, un destino directo previsto e o comportamento de fallo requirido. O caso de fallo importa tanto como o de éxito: un recurso que non debería ser alcanzable debe ser realmente inalcanzable. Rexistra os catro resultados antes de dar o deseño por terminado.

Despois garda a configuración de rutas e DNS xunto ao inventario, cun propietario nomeado. Cando o laboratorio gañe outra subrede, actualiza ambos e volve probar.

Unha ruta sen explicación que se solapa cunha rede doméstica existente é o resultado por defecto de saltar ese paso.

O deseño terminado é pequeno, documentado e aburrido, que é exactamente o que un laboratorio quere da súa rede. A versión interesante é a que se rompe mentres estás fóra da casa.