מעבדת בית עם מנהרה מפוצלת: נתבו את מה שצריך, לא הכול

העצה שמעבדת בית צריכה מנהרה מלאה מגיעה בדרך כלל ממדריך שהייתה בו כזו, לא מדרישה. מנהרה מפוצלת אינה הגרסה המרוככת של VPN תקין; היא הגרסה שאת טבלת הנתיבים שלה אתם יכולים להסביר. מעבדה עם חמישה שירותים וממשק ניהול אינה צריכה שכל מנה שיוצאת מהבית תעבור במנהרה. מה שהיא צריכה הוא מלאי ונתיב לכל פריט במלאי הזה.

המיתוס: מנהרה מפוצלת היא פשרה

המיתוס שורד כי מנהרה מלאה קלה יותר להגדרה פעם אחת וקשה יותר לניפוי באגים לאחר מכן. העסקה הזו סבירה למחשב נייד על Wi-Fi ציבורי ושגויה לארון במרתף.

היא גם מסתירה הנחה שנייה, שמיעון המעבדה אינו חולק דבר עם הרשת שממנה אתם מתחברים.

עשו מלאי של המשאבים לפני הנתיבים

רשמו כל תת-רשת של המעבדה, את השירות שחי בה, את השם שאתם מפענחים דרכו, ומי רשאי להגיע אליה; הערות ההעברה של השער שלכם מתארות את נתיב החזרה שאתם מתכננים לפיו. הוסיפו את טווחי הקונטיינרים ואת טווחי ה-LAN שהלקוח המרוחק עשוי כבר להשתמש בהם, כי חפיפה היא הכשל שהמלאי הזה מונע. נתיב שמכסה כל כתובת פרטית יתנגש ברשת ביתית במוקדם או במאוחר. המלאי הוא גם תוכנית הבדיקה, ולכן שווה לעשות אותו לפני ההגדרה ולא אחריה.

הקצו לכל משאב נתיב: דרך המנהרה, ישיר או חסום. משאב בלי נתיב מוקצה הוא זה שיוצר אחר כך את שאלת התמיכה המבולבלת.

חמישה שורות ועמודה של החלטות עדיפים על טבלת נתיבים שאיש אינו יכול לקרוא.

השער צריך נתיב חזרה

העברה בשער היא רק חצי. המעבדה צריכה נתיב חזרה אל מאגר הלקוחות, או הסדר תרגום נתמך שמאפשר את החזרה. אם התשובות לא מוצאות את הלקוח, המנהרה נראית מחוברת וכל בקשה מסתיימת בזמן; זה סימפטום של ניתוב, לא כשל של VPN. בדקו את נתיב החזרה כחלק מהתכנון, לא כשלב לפתרון תקלות.

מאגר לקוחות שחופף למיעון של המעבדה עצמה הוא החצי השני של הבעיה הזו, והוא נכשל בדיוק באותה דרך.

תקנו את התוכנית, לא את הסימפטומים, כששני הטווחים מתנגשים.

תפקידי הניהול והאינטרנט נפרדים

החליטו אם רק תעבורת המעבדה משתמשת במנהרה או שהיא גם הופכת ליציאת אינטרנט. אל תוסיפו נתיב ברירת מחדל רק מפני שמדריך השתמש באחד, כי ההחלטה הזו משנה לאן הולך כל שאילתת DNS וכל בדיקת עדכון. שמרו נתיב חיצוני אל נקודת הקצה של ה-VPN עצמה, אחרת המנהרה תנסה לשאת את החיבור החיצוני של עצמה. שמרו על גישת ניהול צרה ונגישה דרך שיטת שחזור מאושרת.

אפשר לבחור DNS פרטי עבור שמות המעבדה בלי להניח שכל שאילתה ציבורית צריכה את אותו פותר. זו החלטה של פותר, לא החלטה של נתיב.

ההפרדה ביניהם היא מה שעושה את מצבי הכשל למובחנים בהמשך.

בדקו מבחוץ, לא מה-LAN

השתמשו בחיבור חיצוני מורשה במקום בבדיקה מאותו LAN, כי בדיקה מאותו LAN יכולה להסתיר לחלוטין נתיב חזרה חסר. אמתו כתובת מעבדה, את שם המארח הפרטי שלה, יעד ישיר מכוון ואת התנהגות הכשל הנדרשת. מקרה הכשל חשוב כמו מקרה ההצלחה: משאב שאמור להיות בלתי נגיש חייב להיות באמת בלתי נגיש. תעדו את כל ארבע התוצאות לפני שתכריזו שהתכנון הסתיים.

אחר כך שמרו את תצורת הנתיבים וה-DNS לצד המלאי, עם בעלים בשמו. כשהמעבדה מקבלת תת-רשת נוספת, עדכנו את שניהם ובדקו שוב.

נתיב לא מוסבר שחופף לרשת ביתית קיימת הוא התוצאה המוגדרת כברירת מחדל של דילוג על אותו שלב.

התכנון המוגמר קטן, מתועד ומשעמם, וזה בדיוק מה שמעבדה רוצה מהרשת שלה. הגרסה המעניינת היא זו שנשברת כשאתם רחוקים מהבית.