נתב VPN: LAN ו-WAN — מה לתעד לפני שקונים
תווית VPN אינה אומרת דבר על VLAN, על מעבר כשל של WAN או על תפקידי מנהרה. כתבו את היכולות המדויקות של הדגם והקושנה שאתם מתכוונים לפרוס.
התייחסו לתווית „מוכן ל-VPN” כתכונה אחת של מארז שחייב גם לנתב, לפצל ולעבור כשל, כי התווית אינה אומרת דבר על כמה רשתות נפרדות ההתקן יכול להחזיק. התחילו בכתיבת רשומת יכולות לדגם ולקושנה המדויקים, ואז השוו את הרשומה לזרימות שהאתר צריך. דפי שיווק מפרטים שקעים; הם ממעטים לפרט חברות ב-VLAN, מדיניות מעבר כשל או היקף מנהרה. הרשומה אורכת כעשרים דקות ומכרעת את רוב ויכוחי הרכישה לפני שהחומרה מגיעה.
קבעו את המארז המדויק לפני כל דבר אחר
שמות דגמים עוברים בין דורות קושנה, ואותו מארז עשוי להישלח עם מנהל התקן מתג שונה בהתאם למהדורה. קראו את זהות הלוח מההתקן עצמו ולא מהקרטון, כדי שכל טענה מאוחרת תהיה קשורה למשהו שתוכלו לשחזר. פקודה אחת מכסה דגם, שם לוח ומהדורת קושנה ב-OpenWrt, והמסכים המקבילים קיימים ברוב הקושנות העסקיות.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseכתבו את המחרוזות האלה ברשומה, לעולם לא מקוצרות. אחר כך הפרידו את עבודת הניתוב הרגילה מעבודת המנהרה. התקן שמעביר מנות היטב עשוי עדיין לסרב לסיים מנהרה, ולהתקן שמסיים מנהרה אולי אין דרך להחזיק שתי רשתות מקומיות בנפרד. טיפול בשניהם כדרישה אחת מסתיר את אי-ההתאמה עד שהמכשיר כבר מורכב בארון, מוגדר ומהימן למחצה.
תעדו את מבנה ה-LAN, לא את מספר היציאות
ארבעה שקעים בדרך כלל אומרים מתג אחד, ומתג אומר תחום שידור אחד אלא אם כן הוגדרו VLAN. זה מתאים לרשת ביתית שטוחה ולא נכון לאתר שרוצה מגזר אורחים, מגזר ניהול ומגזר מצלמות מבודד על אותו מארז. תעדו אילו יציאות שייכות לאיזו VLAN, אילו VLAN מגיעות למעבד ואילו ממשקים נושאים כתובות.
היכן שהקושנה מציעה VLAN, רשימת הממשקים קובעת כמה מדיניות נפרדת תוכלו לכתוב. VLAN שמוגדרת במתג אך אף פעם לא מוקצית כממשק אין לה כתובת ואין לה אזור חומת אש, ולכן היא לא יכולה לאכוף דבר בעצמה.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
קראו את מצב המתג במקום לסמוך על התפריט. ביעדי OpenWrt ישנים כלי המתג מדפיס את ההתקנים המוגדרים, וביעדי DSA כלי הגשר מדווחים את אותן עובדות לכל יציאה, ולכן מהדורת הקושנה שייכת לרשומה.
כתבו את התנהגות ה-WAN ומעבר הכשל
שיטת הגישה, הבעלות על הכתובת וסדר מעבר הכשל שייכים לשורה אחת לכל קישור במעלה, כי מנהרה ששורדת שינוי WAN תלויה בכל השלושה. הפעלת PPPoE מתחברת מחדש עם כתובת חדשה ומפילה איתה את המנהרה, בעוד קישור DHCP ששומר על החכירה שלו אולי לא יעשה זאת.
מעבר כשל דורש גם החלטת מדיניות. לשלוח את כל התעבורה לקישור הגיבוי קל; להחזיק את המנהרה בקישור הראשי בזמן שתעבורת אינטרנט רגילה משתמשת בגיבוי דורש ניתוב לפי מדיניות, ולא כל קושנה חושפת אותו. ציינו אם המנהרה קשורה לקישור אחד במעלה ומה ההתקן עושה לסשנים קיימים כשהקישור הזה נעלם. שמרו את טבלת הניתוב כראיה, לא את תיבת הסימון של מעבר הכשל.
בדקו זרימה מותרת אחת וזרימה אסורה אחת
הרשומה שווה לשמירה רק אם אפשר לקבל את ההתקן לפיה. בחרו זרימה שחייבת לעבוד, אחת שאסור, והריצו את שתיהן מלקוח במגזר המדובר. מנהרה שנושאת כל תת-רשת היא כשל כשהדרישה הייתה תת-רשת אחת.
ואז אשרו את החסימה, כי ברירת מחדל מתירנית היא ההפתעה הרגילה. מגזר האורחים אסור שיגיע לכתובת הניהול, והבדיקה אמורה להראות פסק זמן או סירוב ולא דף התחברות.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1אם הזרימה המותרת עובדת וגם האסורה עובדת, הפיצול חסר גם אם התפריטים רמזו אחרת. אם שתיהן נכשלות, היקף המנהרה או נתיב החזרה שגויים, ורשומת ה-WAN בדרך כלל מסבירה איזה. שמרו את שתי התוצאות עם רשומת היכולות כדי שהסוקר הבא יראה מה אושר, על איזו קושנה ובאיזה תאריך.