VPN usmjerivač: LAN i WAN — što zapisati prije kupnje
Oznaka VPN ne govori ništa o VLAN-ovima, prebacivanju WAN veze ni ulogama tunela. Zapišite točne mogućnosti modela i firmvera koji namjeravate uvesti.
Tretirajte oznaku spremnosti za VPN kao jednu značajku uređaja koji mora i usmjeravati, segmentirati i prebacivati se pri kvaru, jer oznaka ne govori ništa o tome koliko odvojenih mreža uređaj može držati. Počnite pisanjem zapisa o mogućnostima za točan model i firmver, pa taj zapis usporedite s tokovima koje lokacija treba. Marketinške stranice navode utičnice; rijetko navode članstvo u VLAN-u, politiku prebacivanja pri kvaru ili opseg tunela. Zapis traje oko dvadeset minuta i rješava većinu rasprava o kupnji prije dolaska hardvera.
Prije svega fiksirajte točan uređaj
Nazivi modela putuju kroz generacije firmvera, a isto kućište može doći s drugim upravljačkim programom sklopke ovisno o izdanju. Čitajte identitet ploče s uređaja, a ne s kartona, kako bi svaka kasnija tvrdnja bila vezana uz nešto što možete reproducirati. Jedna naredba pokriva model, naziv ploče i izdanje firmvera na OpenWrt-u, a ekvivalentni zasloni postoje u većini poslovnih firmvera.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseZapišite te nizove u zapis, nikada skraćene. Zatim odvojite običan posao usmjeravanja od posla tunela. Uređaj koji dobro prosljeđuje pakete može ipak odbiti prekinuti tunel, a uređaj koji prekida tunel možda nema načina držati dvije lokalne mreže odvojenima. Ako se oboje tretira kao jedan zahtjev, nesklad se skriva dok jedinica već nije montirana u stalak, konfigurirana i napola povjerena.
Zapišite strukturu LAN-a, ne broj portova
Četiri utičnice obično znače jednu sklopku, a sklopka znači jednu broadcast domenu osim ako su VLAN-ovi konfigurirani. To je u redu za ravnu kućnu mrežu i pogrešno za lokaciju koja želi gostinjski segment, upravljački segment i izolirani segment kamera na istom uređaju. Zapišite koji portovi pripadaju kojem VLAN-u, koji VLAN-ovi stižu do procesora i koja sučelja nose adrese.
Gdje firmver nudi VLAN-ove, popis sučelja odlučuje koliko različitih politika možete napisati. VLAN definiran na sklopki, ali nikada dodijeljen kao sučelje, nema adresu ni zonu vatrozida, pa sam po sebi ne može ništa provesti.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Čitajte stanje sklopke umjesto da vjerujete izborniku. Na starijim OpenWrt ciljevima alat za sklopku ispisuje konfigurirane uređaje, a na DSA ciljevima mostovni alati izvješćuju iste činjenice po portu, zato izdanje firmvera pripada zapisu.
Zapišite ponašanje WAN-a i prebacivanja pri kvaru
Način pristupa, vlasništvo adrese i redoslijed prebacivanja pri kvaru pripadaju u jedan redak po uzlaznoj vezi, jer tunel koji preživi promjenu WAN-a ovisi o sve tri stavke. PPPoE sesija se ponovno spaja s novom adresom i ruši tunel sa sobom, dok DHCP uzlazna veza koja zadrži svoj najam možda neće.
Prebacivanje pri kvaru traži i odluku o politici. Slanje cijelog prometa na rezervnu vezu lako je; držanje tunela na primarnoj dok obični web promet koristi rezervnu traži usmjeravanje po politici, a nema ga svaki firmver. Zabilježite je li tunel vezan uz jednu uzlaznu vezu i što uređaj radi s uspostavljenim sesijama kada ta veza nestane. Sačuvajte tablicu usmjeravanja kao dokaz, ne potvrdni okvir prebacivanja pri kvaru.
Testirajte jedan dopušteni i jedan odbijeni tok
Zapis je vrijedan čuvanja samo ako se uređaj može prihvatiti prema njemu. Odaberite jedan tok koji mora raditi, jedan koji ne smije, i pokrenite oba s klijenta u dotičnom segmentu. Tunel koji nosi svaku podmrežu je neuspjeh kada je zahtjev bila jedna podmreža.
Zatim potvrdite odbijanje, jer je popustljiva zadana postavka uobičajeno iznenađenje. Gostinjski segment ne smije dosegnuti upravljačku adresu, a provjera bi trebala pokazati istek vremena ili odbijanje umjesto stranice za prijavu.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Ako dopušteni tok radi i odbijeni tok također radi, segmentacija nedostaje iako su izbornici sugerirali suprotno. Ako oba zakažu, opseg tunela ili povratni put su pogrešni, a WAN zapis obično objašnjava koji. Čuvajte dva rezultata uz zapis o mogućnostima kako bi sljedeći preglednik vidio što je prihvaćeno, na kojem firmveru i na koji datum.