Drugi usmjerivač kao VPN pristupnik: što ne rješava
Drugi usmjerivač daje odabranim uređajima drugačiji izlaz. Ne uklanja dvostruki NAT, ne popravlja lokalno otkrivanje i ne održava se sam nakon što tunel padne.
Postavljanje drugog usmjerivača iza glavnog čist je način da nekoliko uređaja dobije drugačiji izlaz. To je i mjesto gdje ljudi očekuju više izolacije nego što je uređaj pruža. Glavna mreža zadržava svoju uobičajenu putanju, a donja mreža slijedi politiku drugog usmjerivača. Ono što se događa između njih i ono što se događa kada tunel padne jest dio koji vrijedi planirati.
Postavka radi. Mitovi se odnose na to što ona štiti. To je još uvijek koristan dizajn; samo nije sigurnosna granica sama po sebi.
Mit: drugi usmjerivač potpuno izolira tunel
Uređaji iza drugog pristupnika slijede njegovu politiku. Uređaji na glavnoj mreži ne nasljeđuju taj tunel, i to je poanta. Ali drugi usmjerivač još uvijek ima uzlaznu putanju kroz prvi, a ta putanja je odnos kojim morate upravljati.
Drugom usmjerivaču također treba klijentski profil VPN-a. Značajka koja prihvaća samo dolazne VPN veze ne stvara odlazni tunel prema pružatelju usluge. Provjerite podršku za klijente u firmveru prije kupnje hardvera.
Dajte donjoj mreži podmrežu koja se ne preklapa. Kopiranje primjernog raspona bez provjere postojećih mreža pouzdan je način da stvorite zagonetku usmjeravanja.
Mit: dvostruki NAT samo je enkapsulacija VPN-a
Dva usmjerena pristupnika mogu stvoriti dvostruki NAT, a to je odvojeno od vlastite enkapsulacije VPN-a. Običan odlazni promet obično radi. Dolazni pristup uslugama zahtijeva namjeran dizajn, često preusmjeravanje porta na oba uređaja ili posve drugačiji pristup.
Dodatni sloj prevođenja također otežava čitanje zapisa. Izvorišna adresa u zapisu glavnog usmjerivača može pripadati drugom usmjerivaču, a ne uređaju koji otklanjate pogreške. To vrijedi znati prije nego što krenete u potjeru za fantomskim uređajem.
Zapišite plan adresa prije nego što bilo što uključite.
Mit: otkrivanje prelazi jer obje LAN mreže dobro pregledavaju
Obje mreže mogu pregledavati internet dok otkrivanje između njih ne radi. Telefon na glavnom Wi-Fi-ju možda neće naći televizor iza VPN pristupnika, jer multicast otkrivanje prema zadanim postavkama ne prelazi usmjerenu granicu. Ako je to važno, treba vam reflektor ili drugačija topologija. Uspješno pregledavanje nije dokaz lokalnog otkrivanja.
Držite upravljačko sučelje drugog usmjerivača dostupnim s ovlaštene putanje bez objavljivanja na WAN-u. Spremite konfiguraciju obaju pristupnika prije nego što promijenite rute.
Testirajte DNS i IPv6 kao i vidljivu izlaznu adresu. Tunel koji nosi samo IPv4 može procuriti drugu porodicu. Upišite oba rezultata u zapis o promjeni.
Što vam drugi pristupnik zapravo daje
Čini opseg vidljivim. Možete pokazati na jedan uređaj i reći koja mreža slijedi tunel, a kućanstvo zadržava svoju uobičajenu putanju. Ta jasnoća za mnoge domove vrijedi dodatnog hardvera.
To je ipak još jedan uređaj koji se održava, s vjerodajnicama, firmverom i postupkom oporavka. Odlučite trebaju li se donji uređaji zaustaviti ili vratiti kada VPN padne, i testirajte to ponašanje. Pristupnik ne uklanja operativni rad; on ga koncentrira. Recept za pfSense WireGuard klijenta pokriva tunelsku stranu na jednoj uobičajenoj platformi.