Router VPN: LAN dan WAN — apa yang perlu dicatat sebelum membeli

Perlakukan label siap-VPN sebagai satu fitur pada perangkat yang juga harus merutekan, memisahkan, dan beralih saat gagal, karena label itu tidak menjelaskan berapa jaringan terpisah yang dapat ditampung perangkat. Mulailah dengan menulis catatan kemampuan untuk model dan firmware yang tepat, lalu bandingkan catatan itu dengan alur yang dibutuhkan lokasi. Halaman pemasaran mencantumkan soket; mereka jarang mencantumkan keanggotaan VLAN, kebijakan failover, atau cakupan terowongan. Catatan itu memakan waktu sekitar dua puluh menit dan menyelesaikan sebagian besar perdebatan pembelian sebelum perangkat keras tiba.

Tetapkan perangkat yang tepat sebelum hal lain

Nama model berpindah antar generasi firmware, dan casing yang sama dapat dikirim dengan driver sakelar berbeda tergantung rilisnya. Baca identitas papan dari perangkat itu sendiri, bukan dari karton, agar setiap klaim berikutnya terikat pada sesuatu yang dapat Anda reproduksi. Satu perintah mencakup model, nama papan, dan rilis firmware di OpenWrt, dan layar setara tersedia di sebagian besar firmware bisnis.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Tulis string itu ke dalam catatan, jangan pernah disingkat. Lalu pisahkan tugas perutean biasa dari tugas terowongan. Perangkat yang meneruskan paket dengan baik bisa tetap menolak mengakhiri terowongan, dan perangkat yang mengakhiri terowongan mungkin tidak punya cara memisahkan dua jaringan lokal. Memperlakukan keduanya sebagai satu persyaratan menyembunyikan ketidakcocokan sampai unit sudah dipasang di rak, dikonfigurasi, dan setengah dipercaya.

Catat struktur LAN, bukan jumlah port

Empat soket biasanya berarti satu sakelar, dan sakelar berarti satu domain siaran kecuali VLAN dikonfigurasi. Itu baik untuk jaringan rumah datar dan salah untuk lokasi yang menginginkan segmen tamu, segmen manajemen, dan segmen kamera terisolasi pada perangkat yang sama. Catat port mana yang termasuk VLAN mana, VLAN mana yang mencapai CPU, dan antarmuka mana yang membawa alamat.

Di mana firmware menawarkan VLAN, daftar antarmuka menentukan berapa banyak kebijakan berbeda yang dapat Anda tulis. VLAN yang didefinisikan pada sakelar tetapi tidak pernah ditetapkan sebagai antarmuka tidak punya alamat dan tidak punya zona firewall, jadi tidak dapat menegakkan apa pun sendiri.

Baca keadaan sakelar alih-alih memercayai menu. Pada target OpenWrt lama, alat sakelar mencetak perangkat yang dikonfigurasi, dan pada target DSA, alat jembatan melaporkan fakta yang sama per port, karena itu rilis firmware masuk ke catatan.

Catat perilaku WAN dan failover

Metode akses, kepemilikan alamat, dan urutan failover ada pada satu baris per uplink, karena terowongan yang bertahan dari perubahan WAN bergantung pada ketiganya. Sesi PPPoE terhubung ulang dengan alamat baru dan menjatuhkan terowongan bersamanya, sedangkan uplink DHCP yang mempertahankan sewa mungkin tidak.

Failover juga memerlukan keputusan kebijakan. Mengirim semua lalu lintas ke tautan cadangan itu mudah; menjaga terowongan di tautan utama sementara lalu lintas web biasa memakai cadangan memerlukan perutean kebijakan, dan tidak semua firmware menyediakannya. Catat apakah terowongan terikat pada satu uplink, dan apa yang dilakukan perangkat terhadap sesi yang sudah terbentuk saat uplink itu hilang. Simpan tabel perutean sebagai bukti, bukan kotak centang failover.

Uji satu alur yang diizinkan dan satu alur yang ditolak

Catatan hanya layak disimpan jika perangkat dapat diterima terhadapnya. Pilih satu alur yang harus berfungsi, satu yang tidak boleh, dan jalankan keduanya dari klien di segmen terkait. Terowongan yang membawa setiap subnet adalah kegagalan ketika persyaratannya satu subnet.

Lalu konfirmasikan penolakan, karena default yang permisif adalah kejutan yang biasa. Segmen tamu tidak boleh mencapai alamat manajemen, dan pemeriksaan harus menunjukkan waktu habis atau penolakan, bukan halaman masuk.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Jika alur yang diizinkan berfungsi dan alur yang ditolak juga berfungsi, pemisahan tidak ada meskipun menu menyarankan sebaliknya. Jika keduanya gagal, cakupan terowongan atau jalur balik salah, dan catatan WAN biasanya menjelaskan yang mana. Simpan kedua hasil bersama catatan kemampuan agar peninjau berikutnya melihat apa yang diterima, pada firmware mana, dan pada tanggal berapa.