Router kedua sebagai gerbang VPN: apa yang tidak diselesaikannya

Menempatkan router kedua di belakang router utama adalah cara bersih untuk memberi beberapa perangkat jalan keluar yang berbeda. Di sinilah orang mengharapkan isolasi lebih besar daripada yang diberikan perangkat. Jaringan utama mempertahankan jalur biasa, dan jaringan di hilir mengikuti kebijakan router kedua. Apa yang terjadi di antara keduanya, dan apa yang terjadi saat terowongan gagal, adalah bagian yang layak direncanakan.

Penyiapannya berfungsi. Mitosnya adalah tentang apa yang dilindunginya. Ini tetap rancangan yang berguna; hanya saja bukan batas keamanan dengan sendirinya.

Mitos: router kedua mengisolasi terowongan sepenuhnya

Perangkat di belakang gerbang kedua mengikuti kebijakannya. Perangkat di jaringan utama tidak mewarisi terowongan itu, dan itulah intinya. Tetapi router kedua tetap punya jalur hulu melalui router pertama, dan jalur itu adalah hubungan yang harus Anda kelola.

Router kedua juga memerlukan profil klien VPN. Fitur yang hanya menerima koneksi VPN masuk tidak membuat terowongan keluar ke penyedia. Periksa dukungan klien pada firmware sebelum membeli perangkat kerasnya.

Beri jaringan hilir subnet yang tidak tumpang tindih. Menyalin rentang contoh tanpa memeriksa jaringan yang ada adalah cara andal menciptakan teka-teki perutean.

Mitos: NAT ganda hanyalah enkapsulasi VPN

Dua gerbang yang dirutekan dapat menciptakan NAT ganda, dan itu terpisah dari enkapsulasi VPN itu sendiri. Lalu lintas keluar biasa biasanya berfungsi. Akses layanan masuk memerlukan rancangan yang disengaja, sering kali penerusan porta pada kedua perangkat atau pendekatan yang sama sekali berbeda.

Lapisan terjemahan tambahan juga membuat log lebih sulit dibaca. Alamat sumber di log router utama mungkin milik router kedua, bukan perangkat yang sedang Anda debug. Itu layak diketahui sebelum Anda memburu perangkat hantu.

Tulis rencana alamat sebelum menyalakan apa pun.

Mitos: penemuan menyeberang karena kedua LAN menjelajah dengan baik

Kedua jaringan dapat menjelajah internet sementara penemuan di antara keduanya gagal. Ponsel di Wi-Fi utama mungkin tidak menemukan TV di belakang gerbang VPN, karena penemuan multicast tidak menyeberangi batas yang dirutekan secara default. Jika itu penting, Anda memerlukan pemantul atau topologi berbeda. Keberhasilan menjelajah bukan bukti penemuan lokal.

Jaga antarmuka manajemen router kedua tetap dapat dijangkau dari jalur yang diizinkan tanpa menerbitkannya di WAN. Simpan konfigurasi kedua gerbang sebelum Anda mengubah rute.

Uji DNS dan IPv6 serta alamat keluar yang terlihat. Terowongan yang hanya membawa IPv4 dapat membocorkan keluarga lainnya. Tulis kedua hasil ke catatan perubahan.

Apa yang sebenarnya Anda dapatkan dari gerbang kedua

Gerbang ini membuat cakupan terlihat. Anda dapat menunjuk satu perangkat dan mengatakan jaringan mana yang mengikuti terowongan, dan rumah tangga mempertahankan jalur biasanya. Kejelasan itu sepadan dengan perangkat keras tambahan bagi banyak rumah.

Ini tetap perangkat lain yang harus dirawat, dengan kredensial, firmware, dan proses pemulihan. Putuskan apakah perangkat hilir harus berhenti atau kembali saat VPN gagal, dan uji perilaku itu. Gerbang tidak menghapus pekerjaan operasional; ia memusatkannya. Resep klien pfSense WireGuard mencakup sisi terowongan pada satu platform umum.