Dodajte VPN lokacije uz ISP ruter bez prekida poziva

Većina malih lokacija već ima jedan uređaj koji radi internet, DHCP i glasovnu liniju, a taj uređaj neće voditi tunel vaše lokacije. Dodavanje drugog gatewaya za privatnu putanju funkcionira ako prije dodira kabela odlučite kome pripada koja ruta. Pravi rizik nije tunel, nego tiha zamjena uređaja koji drži telefone registriranima. Prođite pet provjera redom i zaustavite se gdje jedna ne uspije.

Zapišite uloge koje već rade

Zabilježite zadani gateway, DHCP poslužitelj, razrješivač i uređaj koji drži glasovnu registraciju kod davatelja. U ovom primjeru ISP ruter je 10.50.0.1, novi gateway bit će 10.50.0.2, a udaljena lokacija 10.60.0.0/24. Ništa u tom planu ne mijenja prve tri uloge i upravo je to poanta. Zatim potvrdite da drugi uređaj doista može zaključiti potrebni tunel: provjerite protokol, očekivani protok i dobiva li ažuriranja firmvera ili paketa. Uređaj s VPN logotipom i bez puta ažuriranja je teret, a ne dodatak.

Ako ne možete reći kome pripada glasovna usluga, zaustavite se. Mijenjanje rutera koji drži registraciju bez plana vraćanja pretvara VPN projekt u telefonski prekid.

Dajte novom gatewayu jednu adresu i jedan zadatak

Rezervirajte njegovu LAN adresu izvan DHCP skupa da se ne pomakne nakon restarta i ne dajte mu vlastitu zadanu rutu osim ako želite da postane internetski put. Njegov je zadatak držati tunel i odgovarati za udaljene prefikse. Na LAN hostovima koji moraju doći do udaljene lokacije dokažite koji put sada koriste i koji želite nakon promjene; iste dvije naredbe prije i poslije najjeftiniji su dokaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ako pretraga vraća ISP ruter i traceroute umire na rubu interneta, host još nema udaljeni put, što je očekivano. Ako vraća nešto neočekivano, prvo to riješite, jer svaki kasniji korak pretpostavlja ovu osnovu.

Odaberite kome pripada ruta udaljenog prefiksa

Opcija A je ISP ruter: drži statičku rutu za 10.60.0.0/24 prema gatewayu i svaki host slijedi svoj zadani gateway kao prije. Opcija B je po hostu: samo strojevi kojima treba udaljena lokacija dobivaju eksplicitnu rutu kroz 10.50.0.2, a sve ostalo ostaje netaknuto. A je čišća za mnogo hostova, ali obično zahtijeva da davateljev ruter prihvati statičku rutu, što neki ne čine. B ne traži suradnju davatelja, ali ostavlja vam održavanje konfiguracije hostova, pa odgovara malom odobrenom skupu strojeva.

U svakom slučaju povratni smjer mora postojati. Ako udaljeni odgovor dođe na gateway i gateway ga proslijedi ravno na LAN host, promet preskače stanje vatrozida koje je ISP ruter držao na odlaznom putu. Kada gateway nije zadani ruter LAN-a, ta je asimetrija dizajnerska odluka, a ne greška koju možete ignorirati.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Učvrstite unos kroz vlasnika konfiguracije hosta, a ne kroz skriptu za prijavu. Ruta koja postoji samo nakon nečije prijave pasti će prvi put kada se stroj restartira zbog nepovezanog razloga.

Osigurajte dostupnu ulaznu točku

Gateway treba adresu do koje udaljena lokacija može doći. Iza ISP rutera to znači prosljeđivanje porta ili DMZ unos, a oboje ovisi o tome dostavlja li davatelj promet doista. Lokalno prosljeđivanje ne može pobijediti NAT operatorske razine na strani davatelja. Ako davatelj ne daje dostupnu točku, obrnite smjer: neka obje lokacije iniciraju prema čvorištu koje kontrolirate. To je valjan dizajn, ali dodaje treću ovisnost za prosljeđivanje, povjerenje i dostupnost, a dinamički DNS to ne zamjenjuje.

Potvrdite prosljeđivanje snimkom na gatewayu, a ne web-stranicom koja skenira portove. Skeneri prijavljuju port zatvorenim dok se slušatelj ne veže, a prosljeđivanje koje nikad ne dostavi promet izvana izgleda isto kao zatvoren port.

Prihvatite privatnu uslugu i glasovnu liniju zajedno

Testirajte predviđeni rad s LAN hosta, uz privatni DNS i vlastite vjerodajnice aplikacije. Rutirani tunel ne čini udaljeno pregledavanje lokalnim Ethernet segmentom, pa otkrivanje i razrješavanje imena traže vlastite dogovore.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Zatim potvrdite da običan pristup internetu s istog hosta još radi i da su telefoni još registrirani; te dvije provjere hvataju slučajnu promjenu zadane rute, najčešći način na koji ovaj projekt pokvari nešto što nije namjeravao dotaknuti. Završite pisanom bilješkom o oporavku: koji uređaj drži koju ulogu, rezervirane adrese i kako ukloniti rutu udaljenog prefiksa u jednom koraku. Privatna putanja koja se može čisto povući vrijedi više od one koja samo danas radi.