VPN-router: LAN és WAN – mit rögzítsen vásárlás előtt

Tekintse a VPN-kész címkét egyetlen tulajdonságnak egy olyan dobozon, amelynek útválasztania, szegmentálnia és hiba esetén át kell váltania, mert a címke semmit nem mond arról, hány külön hálózatot képes az eszköz kezelni. Kezdje egy képességjegyzék megírásával a pontos modellhez és firmware-hez, majd hasonlítsa össze ezt a jegyzéket a helyszín által igényelt folyamokkal. A marketingoldalak csatlakozókat sorolnak; ritkán sorolják a VLAN-tagságot, a failover-szabályt vagy az alagút hatókörét. A jegyzék körülbelül húsz percet vesz igénybe, és a hardver megérkezése előtt eldönti a legtöbb vásárlási vitát.

Mindenek előtt rögzítse a pontos dobozt

A modellnevek firmware-generációkon át vándorolnak, és ugyanaz a ház a kiadástól függően más kapcsoló-illesztőprogrammal szállítható. A kártyaidentitást magáról az eszközről olvassa le, ne a kartondobozról, hogy minden későbbi állítás olyanhoz kapcsolódjon, amit reprodukálni tud. Egyetlen parancs lefedi a modellt, a kártya nevét és a firmware kiadását OpenWrt alatt, és a megfelelő képernyők a legtöbb üzleti firmware-ben megtalálhatók.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Írja be ezeket a karakterláncokat a jegyzékbe, soha rövidítve. Ezután válassza szét a szokásos útválasztási feladatot az alagútfeladattól. Egy jól továbbító eszköz még megtagadhatja az alagút lezárását, és egy alagutat lezáró eszköznek lehet, hogy nincs módja két helyi hálózat szétválasztására. Ha ezeket egyetlen követelményként kezeli, az eltérés addig rejtve marad, amíg az egység már be van szerelve a rackbe, konfigurálva van, és félig megbízhatónak számít.

A LAN szerkezetét rögzítse, ne a portok számát

Négy csatlakozó általában egy kapcsolót jelent, és a kapcsoló egy üzenetszórási tartományt, hacsak nincsenek VLAN-ok beállítva. Ez rendben van egy lapos otthoni hálózatnál, és hibás egy olyan helynél, amely vendégszegmenst, kezelési szegmenst és elkülönített kamerás szegmenst akar ugyanazon a dobozon. Rögzítse, mely portok melyik VLAN-hoz tartoznak, mely VLAN-ok érik el a processzort, és mely interfészek hordoznak címeket.

Ahol a firmware VLAN-okat kínál, az interfészlista dönti el, hány különböző szabályt írhat. Az a VLAN, amely a kapcsolón definiált, de soha nem kap interfészként, nem rendelkezik címmel és tűzfalzónával, így önmagában semmit nem tud érvényesíteni.

A kapcsoló állapotát olvassa le, ne a menüben bízzon. Régebbi OpenWrt-célokon a kapcsolóeszköz kiírja a beállított eszközöket, DSA-célokon pedig a hídeszközök portonként ugyanazokat a tényeket jelentik, ezért tartozik a firmware kiadása a jegyzékbe.

Rögzítse a WAN és a failover viselkedését

A hozzáférési mód, a cím tulajdonjoga és a failover sorrendje uplinkenként egy sorba tartozik, mert a WAN-váltást túlélő alagút mindháromtól függ. A PPPoE munkamenet új címmel kapcsolódik újra, és magával viszi az alagutat, míg a bérletét megtartó DHCP-uplink lehet, hogy nem.

A failover szabálydöntést is igényel. Az összes forgalom tartalék kapcsolatra küldése könnyű; az alagút primer kapcsolaton tartása, miközben a szokásos webtrafik a tartalékot használja, házirend-alapú útválasztást igényel, és nem minden firmware kínálja. Jegyezze fel, hogy az alagút egy uplinkhez kötött-e, és mit tesz az eszköz a létrejött munkamenetekkel, amikor az az uplink eltűnik. Őrizze meg az útválasztási táblát bizonyítékként, ne a failover jelölőnégyzetet.

Teszteljen egy engedélyezett és egy tiltott folyamot

A jegyzék csak akkor éri meg a megőrzést, ha az eszköz ellene elfogadható. Válasszon egy folyamot, amelynek működnie kell, egyet, amelynek nem, és futtassa mindkettőt az érintett szegmens klienséről. Az alagút, amely minden alhálózatot szállít, kudarc, ha a követelmény egyetlen alhálózat volt.

Ezután erősítse meg a tiltást, mert az engedékeny alapértelmezés a szokásos meglepetés. A vendégszegmens nem érheti el a kezelési címet, és az ellenőrzésnek időtúllépést vagy elutasítást kell mutatnia, nem bejelentkező oldalt.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Ha az engedélyezett folyam működik, és a tiltott folyam is működik, hiányzik a szegmentálás, bár a menük az ellenkezőjére utaltak. Ha mindkettő meghiúsul, az alagút hatóköre vagy a visszaút hibás, és a WAN-jegyzék általában megmagyarázza, melyik. Őrizze meg a két eredményt a képességjegyzékkel, hogy a következő ellenőr lássa, mit fogadtak el, melyik firmware-en és melyik dátumon.