Router VPN: LAN e WAN, que anotar antes de comprar

Trate a etiqueta de listo para VPN como unha función máis dun equipo que tamén debe encamiñar, segmentar e conmutar por erro, xa que a etiqueta non di nada sobre cantas redes separadas pode aloxar o dispositivo. Comece por escribir un rexistro de capacidades para o modelo e o firmware exactos e despois compare ese rexistro cos fluxos que necesita o sitio. As páxinas de mercadotecnia enumeran tomas; raramente enumeran pertenza a VLAN, política de conmutación por erro ou alcance do túnel. O rexistro leva uns vinte minutos e resolve a maioría das discusións de compra antes de que chegue o hardware.

Fixe o equipo exacto antes que nada

Os nomes de modelo viaxan entre xeracións de firmware, e a mesma carcasa pode enviarse cun controlador de conmutador distinto segundo a versión. Lea a identidade da placa no propio dispositivo e non na caixa, para que cada afirmación posterior quede atada a algo que poida reproducir. Un só comando cobre modelo, nome de placa e versión de firmware en OpenWrt, e as pantallas equivalentes existen na maioría dos firmwares empresariais.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Escriba esas cadeas no rexistro, nunca abreviadas. Despois separe a tarefa de encamiñamento ordinaria da tarefa do túnel. Un dispositivo que reenvía ben os paquetes pode negarse a terminar un túnel, e un dispositivo que termina un túnel pode non ter forma de manter dúas redes locais separadas. Tratar ambas como un único requisito oculta o desaxuste ata que a unidade xa está montada no rack, configurada e medio confiada.

Anote a estrutura da LAN, non o número de portos

Catro tomas adoitan significar un conmutador, e un conmutador significa un dominio de difusión a menos que se configuren VLAN. Iso está ben para unha rede doméstica plana e mal para un sitio que quere un segmento de convidados, un segmento de xestión e un segmento de cámaras illado no mesmo equipo. Anote que portos pertencen a que VLAN, que VLAN chegan á CPU e que interfaces levan enderezos.

Onde o firmware ofrece VLAN, a lista de interfaces decide cantas políticas distintas pode escribir. Unha VLAN definida no conmutador pero nunca asignada como interface non ten enderezo nin zona de devasado, así que non pode impor nada por si soa.

Lea o estado do conmutador en lugar de confiar no menú. En obxectivos OpenWrt antigos a ferramenta de conmutador imprime os dispositivos configurados, e en obxectivos DSA as ferramentas de ponte informan os mesmos feitos por porto, por iso a versión de firmware pertence ao rexistro.

Anote o comportamento de WAN e da conmutación por erro

Método de acceso, propiedade do enderezo e orde de conmutación por erro van nunha liña por enlace ascendente, porque un túnel que sobrevive a un cambio de WAN depende das tres cousas. Unha sesión PPPoE reconéctase cun enderezo novo e arrastra o túnel consigo, mentres que un enlace DHCP que conserva a súa concesión pode que non.

A conmutación por erro tamén require unha decisión de política. Enviar todo o tráfico ao enlace de respaldo é fácil; manter o túnel no primario mentres o tráfico web ordinario usa o de respaldo esixe encamiñamento por políticas, e non todos os firmwares o expoñen. Anote se o túnel está vinculado a un enlace ascendente e que fai o dispositivo coas sesións establecidas cando ese enlace desaparece. Garde a táboa de encamiñamento como proba, non a caixa de conmutación por erro.

Probe un fluxo permitido e un fluxo denegado

O rexistro só paga a pena se o dispositivo pode aceptarse contra el. Escolla un fluxo que deba funcionar, un que non deba, e execute ambos desde un cliente no segmento en cuestión. Un túnel que transporta todas as subredes é un fallo cando o requisito era unha soa subrede.

Despois confirme a denegación, xa que un valor predeterminado permisivo é a sorpresa habitual. O segmento de convidados non debe alcanzar o enderezo de xestión, e a comprobación debería amosar un tempo de espera ou un rexeitamento en lugar dunha páxina de inicio de sesión.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Se o fluxo permitido funciona e o denegado tamén, falta a segmentación aínda que os menús suxerisen o contrario. Se fallan ambos, o alcance do túnel ou a ruta de retorno están mal, e o rexistro de WAN adoita explicar cal. Garde os dous resultados co rexistro de capacidades para que o seguinte revisor vexa que se aceptou, con que firmware e en que data.