נתב שני כשער VPN: מה הוא לא פותר
נתב שני נותן להתקנים נבחרים יציאה אחרת. הוא לא מסיר NAT כפול, לא מתקן גילוי מקומי ולא מתחזק את עצמו אחרי שהמנהרה נכשלת.
הצבת נתב שני מאחורי הנתב הראשי היא דרך נקייה לתת לכמה התקנים יציאה אחרת. זה גם המקום שבו אנשים מצפים ליותר בידוד ממה שההתקן מספק. הרשת הראשית שומרת על הנתיב הרגיל שלה, והרשת שמתחת עוקבת אחרי המדיניות של הנתב השני. מה קורה ביניהם, ומה קורה כשהמנהרה נכשלת, הוא החלק ששווה תכנון.
ההתקנה עובדת. המיתוסים עוסקים במה היא מגנה עליו. זה עדיין עיצוב שימושי; פשוט הוא לא גבול אבטחה בפני עצמו.
מיתוס: הנתב השני מבודד את המנהרה לגמרי
התקנים מאחורי השער השני עוקבים אחרי המדיניות שלו. התקנים ברשת הראשית לא יורשים את המנהרה הזו, וזו הנקודה. אבל לנתב השני עדיין יש נתיב במעלה הזרם דרך הראשון, והנתיב הזה הוא יחס שצריך לנהל.
הנתב השני צריך גם פרופיל לקוח VPN. תכונה שמקבלת רק חיבורי VPN נכנסים לא יוצרת מנהרה יוצאת לספק. בדוק את תמיכת הלקוח בקושחה לפני קניית החומרה.
תן לרשת שמתחת תת-רשת שלא חופפת. העתקת טווח לדוגמה בלי לבדוק רשתות קיימות היא דרך מהימנה ליצור חידת ניתוב.
מיתוס: NAT כפול הוא רק העיבוד של ה-VPN
שני שערים מנותבים יכולים ליצור NAT כפול, וזה נפרד מהעיבוד של ה-VPN עצמו. תעבורה יוצאת רגילה בדרך כלל עובדת. גישה נכנסת לשירותים דורשת עיצוב מכוון, לעתים קרובות העברת פורט בשני ההתקנים או גישה שונה לגמרי.
שכבת התרגום הנוספת גם מקשה על קריאת יומנים. כתובת מקור ביומן של הנתב הראשי יכולה להיות של הנתב השני ולא של ההתקן שאתה מאבחן. כדאי לדעת את זה לפני שאתה רודף אחרי התקן רפאים.
כתוב את תוכנית הכתובות לפני שאתה מדליק משהו.
מיתוס: הגילוי עובר כי שתי הרשתות גולשות היטב
שתי הרשתות יכולות לגלוש באינטרנט בזמן שהגילוי ביניהן נכשל. טלפון ברשת ה-Wi-Fi הראשית אולי לא ימצא טלוויזיה מאחורי שער ה-VPN, כי גילוי multicast לא חוצה גבול מנותב כברירת מחדל. אם זה חשוב, אתה צריך משקף או טופולוגיה אחרת. הצלחה בגלישה היא לא הוכחה לגילוי מקומי.
שמור על ממשק הניהול של הנתב השני נגיש מנתיב מורשה בלי לפרסם אותו ב-WAN. שמור את התצורה של שני השערים לפני שאתה משנה נתיבים.
בדוק DNS ו-IPv6 וגם את כתובת היציאה הנראית. מנהרה שנושאת רק IPv4 יכולה להדליף את המשפחה האחרת. כתוב את שתי התוצאות ברישום השינוי.
מה השער השני באמת נותן לך
הוא הופך את ההיקף לגלוי. אתה יכול להצביע על התקן אחד ולומר איזו רשת עוקבת אחרי המנהרה, והבית שומר על הנתיב הרגיל שלו. הבהירות הזו שווה את החומרה הנוספת בהרבה בתים.
זה עדיין התקן נוסף לתחזוקה, עם אישורים, קושחה ותהליך שחזור. החלט אם התקנים שמתחת צריכים לעצור או לחזור כשהמנהרה נכשלת, ובדוק את ההתנהגות הזו. השער לא מסיר את העבודה התפעולית; הוא מרכז אותה. מתכון לקוח pfSense WireGuard מכסה את צד המנהרה בפלטפורמה נפוצה אחת.