VPN երթուղիչ. LAN և WAN՝ ինչ գրանցել գնելուց առաջ
VPN պիտակը ոչինչ չի ասում VLAN-ների, WAN ձախողման անցման կամ թունելների դերերի մասին։ Գրեք ճշգրիտ հնարավորությունները այն մոդելի և որոնվածի համար, որը պատրաստվում եք տեղակայել։
VPN-ին պատրաստ պիտակը դիտեք որպես մեկ հատկություն այն սարքի վրա, որը պետք է նաև երթուղավորի, հատվածավորի և ձախողման դեպքում անցում կատարի, որովհետև պիտակը ոչինչ չի ասում այն մասին, թե սարքը քանի առանձին ցանց կարող է պահել։ Սկսեք հնարավորությունների գրառում գրելով ճշգրիտ մոդելի և որոնվածի համար, ապա համեմատեք այդ գրառումը տեղամասին անհրաժեշտ հոսքերի հետ։ Մարքեթինգային էջերը թվարկում են վարդակներ, սակայն հազվադեպ են թվարկում VLAN անդամակցությունը, ձախողման անցման քաղաքականությունը կամ թունելի շրջանակը։ Գրառումը տևում է մոտ քսան րոպե և լուծում է գնման վեճերի մեծ մասը մինչև սարքաշարի ժամանումը։
Ամեն ինչից առաջ ամրագրեք ճշգրիտ սարքը
Մոդելների անունները շրջում են որոնվածի սերունդների միջով, և նույն պատյանը կարող է մատակարարվել այլ անջատիչի դրայվերով՝ կախված թողարկումից։ Կարդացեք սալիկի ինքնությունը հենց սարքից, ոչ թե ստվարաթղթից, որպեսզի յուրաքանչյուր հետագա պնդում կապված լինի մի բանի հետ, որը կարող եք վերարտադրել։ OpenWrt-ում մեկ հրամանը ծածկում է մոդելը, սալիկի անունը և որոնվածի թողարկումը, իսկ համարժեք էկրանները կան բիզնես որոնվածների մեծ մասում։
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseԳրեք այդ տողերը գրառման մեջ, երբեք չկրճատված։ Այնուհետև առանձնացրեք սովորական երթուղավորման աշխատանքը թունելի աշխատանքից։ Սարքը, որը լավ է փոխանցում փաթեթները, կարող է այնուամենայնիվ հրաժարվել ավարտել թունելը, իսկ թունելն ավարտող սարքը կարող է երկու տեղական ցանցերն առանձին պահելու միջոց չունենալ։ Եթե դրանք դիտեք որպես մեկ պահանջ, անհամապատասխանությունը թաքնված կմնա, մինչև սարքն արդեն տեղադրված լինի դարակում, կարգավորված և կիսով չափ վստահելի։
Գրանցեք LAN-ի կառուցվածքը, ոչ թե պորտերի քանակը
Չորս վարդակ սովորաբար նշանակում է մեկ անջատիչ, իսկ անջատիչը՝ մեկ հեռարձակման տիրույթ, եթե VLAN-ներ կարգավորված չեն։ Դա լավ է հարթ տնային ցանցի համար և սխալ այն տեղամասի համար, որը նույն սարքի վրա ուզում է հյուրի հատված, կառավարման հատված և առանձին տեսախցիկի հատված։ Գրանցեք, թե որ պորտերն են որ VLAN-ին պատկանում, որ VLAN-ներն են հասնում պրոցեսորին և որ ինտերֆեյսներն են կրում հասցեներ։
Այնտեղ, որտեղ որոնվածը VLAN է առաջարկում, ինտերֆեյսների ցանկը որոշում է, թե քանի առանձին քաղաքականություն կարող եք գրել։ Անջատիչի վրա սահմանված, բայց երբեք ինտերֆեյս չնշանակված VLAN-ը հասցե և հրապատի գոտի չունի, ուստի ինքնուրույն ոչինչ չի կարող պարտադրել։
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Կարդացեք անջատիչի վիճակը՝ մենյուին վստահելու փոխարեն։ Հին OpenWrt թիրախներում անջատիչի գործիքը տպում է կարգավորված սարքերը, իսկ DSA թիրախներում կամուրջի գործիքները հաղորդում են նույն փաստերը յուրաքանչյուր պորտի համար, դրա համար էլ որոնվածի թողարկումը պատկանում է գրառմանը։
Գրանցեք WAN-ի և ձախողման անցման վարքը
Մուտքի եղանակը, հասցեի սեփականությունը և ձախողման անցման հերթականությունը պետք է լինեն մեկ տողում յուրաքանչյուր վերընթաց կապի համար, որովհետև WAN փոփոխությունը վերապրող թունելը կախված է բոլոր երեքից։ PPPoE նստաշրջանը նոր հասցեով նորից միանում է և իր հետ գցում թունելը, մինչդեռ իր վարձույթը պահող DHCP վերընթաց կապը կարող է այդպես չվարվել։
Ձախողման անցումը նաև քաղաքականության որոշում է պահանջում։ Ամբողջ երթևեկությունը պահուստային կապին ուղարկելը հեշտ է, սակայն թունելը հիմնականի վրա պահելը, երբ սովորական վեբ երթևեկությունը օգտագործում է պահուստը, պահանջում է քաղաքականությամբ երթուղավորում, և ոչ բոլոր որոնվածներն են այն տրամադրում։ Նշեք՝ արդյոք թունելը կապված է մեկ վերընթաց կապի հետ, և ինչ է անում սարքը հաստատված նստաշրջանների հետ, երբ այդ կապն անհետանում է։ Պահեք երթուղավորման աղյուսակը որպես ապացույց, ոչ թե ձախողման անցման նշատուփը։
Փորձարկեք մեկ թույլատրված և մեկ արգելված հոսք
Գրառումն արժե պահել միայն այն դեպքում, երբ սարքը կարելի է ընդունել դրա համաձայն։ Ընտրեք մեկ հոսք, որը պետք է աշխատի, մեկը, որը չպետք է, և երկուսն էլ գործարկեք տվյալ հատվածի հաճախորդից։ Բոլոր ենթացանցերը կրող թունելը ձախողում է, երբ պահանջը մեկ ենթացանց էր։
Ապա հաստատեք արգելքը, քանի որ թույլատրող լռելյայնը սովորական անակնկալն է։ Հյուրի հատվածը չպետք է հասնի կառավարման հասցեին, և ստուգումը պետք է ցույց տա ժամանակի սպառում կամ մերժում, ոչ թե մուտքի էջ։
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Եթե թույլատրված հոսքը աշխատում է, և արգելվածն էլ է աշխատում, ապա հատվածավորումը բացակայում է, թեև մենյուները հակառակն էին հուշում։ Եթե երկուսն էլ ձախողվեն, թունելի շրջանակը կամ վերադարձի ուղին սխալ է, և WAN գրառումը սովորաբար բացատրում է, թե որն է։ Պահեք երկու արդյունքը հնարավորությունների գրառման հետ, որպեսզի հաջորդ վերանայողը տեսնի՝ ինչ է ընդունվել, որ որոնվածի վրա և որ ամսաթվին։