Tambahkan VPN situs di samping router ISP tanpa memutus panggilan

Sebagian besar situs kecil sudah punya satu kotak yang mengerjakan internet, DHCP, dan jalur suara, dan kotak itu tidak akan menjalankan tunnel situs Anda. Menambahkan gateway kedua untuk jalur privat berhasil asalkan Anda memutuskan siapa pemilik setiap rute sebelum menyentuh kabel. Risiko sebenarnya bukan tunnel; risikonya adalah mengubah diam-diam perangkat yang menjaga telepon tetap terdaftar. Kerjakan lima pemeriksaan secara berurutan dan berhenti di tempat salah satunya gagal.

Catat peran yang sudah bekerja

Catat gateway default, server DHCP, resolver, dan perangkat yang memegang registrasi suara penyedia. Dalam contoh ini router ISP adalah 10.50.0.1, gateway baru akan berada di 10.50.0.2, dan situs jauh di 10.60.0.0/24. Tidak ada yang mengubah tiga peran pertama, dan itulah intinya. Lalu pastikan kotak kedua benar-benar bisa menutup tunnel: periksa protokol, throughput yang diharapkan, dan apakah ia menerima pembaruan firmware atau paket. Perangkat dengan logo VPN dan tanpa jalur pembaruan adalah beban, bukan tambahan.

Jika Anda tidak bisa menyebut siapa pemilik layanan suara, berhenti. Mengganti router yang memegang registrasi tanpa rencana pemulihan mengubah proyek VPN menjadi pemadaman telepon.

Beri gateway baru satu alamat dan satu tugas

Cadangkan alamat LAN-nya di luar kumpulan DHCP agar tidak berpindah setelah reboot, dan jangan beri rute default sendiri kecuali Anda ingin menjadikannya jalur internet. Tugasnya memegang tunnel dan menjawab untuk prefiks jauh. Pada host LAN yang harus mencapai situs jauh, buktikan rute mana yang mereka pakai sekarang dan mana yang Anda inginkan setelah perubahan; dua perintah yang sama sebelum dan sesudah adalah bukti termurah.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jika pencarian mengembalikan router ISP dan traceroute mati di tepi internet, host belum punya rute jauh, yang memang diharapkan. Jika mengembalikan sesuatu yang tak terduga, selesaikan itu dulu, karena setiap langkah berikutnya mengasumsikan dasar ini.

Pilih siapa pemilik rute prefiks jauh

Opsi A adalah router ISP: ia memegang rute statis untuk 10.60.0.0/24 menuju gateway, dan setiap host mengikuti gateway defaultnya seperti sebelumnya. Opsi B per host: hanya mesin yang membutuhkan situs jauh mendapat rute eksplisit lewat 10.50.0.2, dan sisanya tidak tersentuh. A lebih bersih untuk banyak host, tetapi biasanya menuntut router penyedia menerima rute statis, yang sebagian tidak melakukannya. B tidak perlu kerja sama penyedia tetapi meninggalkan pemeliharaan konfigurasi host pada Anda, jadi cocok untuk kumpulan mesin kecil yang disetujui.

Pada kedua kasus arah balik harus ada. Jika balasan jauh tiba di gateway dan gateway meneruskannya langsung ke host LAN, lalu lintas melewati status firewall yang dijaga router ISP di jalur keluar. Bila gateway bukan router default LAN, asimetri itu adalah keputusan desain, bukan bug yang bisa diabaikan.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Jadikan entri permanen lewat pemilik konfigurasi host, bukan lewat skrip login. Rute yang hanya ada setelah seseorang masuk akan gagal pertama kali mesin di-reboot karena alasan tak terkait.

Siapkan titik masuk yang bisa dijangkau

Gateway butuh alamat yang bisa dicapai situs jauh. Di belakang router ISP itu berarti penerusan port atau entri DMZ, dan keduanya bergantung pada penyedia benar-benar mengirimkan lalu lintas. Penerusan lokal tidak bisa mengatasi NAT tingkat operator di sisi penyedia. Jika penyedia tidak memberi titik yang bisa dijangkau, balik arahnya: biarkan kedua situs memulai ke hub yang Anda kendalikan. Itu desain yang sah, tetapi menambah ketergantungan ketiga untuk penerusan, kepercayaan, dan ketersediaan, dan DNS dinamis tidak menggantikannya.

Pastikan penerusan dengan tangkapan di gateway, bukan dengan situs web yang memindai port. Pemindai melaporkan port tertutup sampai listener terikat, dan penerusan yang tidak pernah mengirim lalu lintas tampak dari luar sama seperti port tertutup.

Terima layanan privat dan jalur suara bersama

Uji operasi yang dimaksud dari host LAN, dengan DNS privat dan kredensial aplikasi itu sendiri. Tunnel yang dirutekan tidak membuat penjelajahan jauh tampak seperti segmen Ethernet lokal, jadi penemuan dan resolusi nama butuh pengaturan sendiri.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Lalu pastikan akses internet biasa masih bekerja dari host yang sama dan telepon masih terdaftar; dua pemeriksaan itu menangkap perubahan rute default yang tidak disengaja, cara paling umum proyek ini merusak sesuatu yang tidak pernah ingin disentuhnya. Akhiri dengan catatan pemulihan tertulis: perangkat mana memegang peran mana, alamat yang dicadangkan, dan cara menghapus rute prefiks jauh dalam satu langkah. Jalur privat yang bisa ditarik bersih bernilai lebih daripada yang hanya bekerja hari ini.