Bættu við vefsvæðis-VPN við hlið ISP-beinisins án þess að rjúfa símtöl

Flest lítil svæði hafa þegar eina einingu sem sér um internet, DHCP og raddlínuna, og sú eining mun ekki keyra göngin þín. Að bæta við annarri gátt fyrir einkaleiðina virkar ef þú ákveður hver á hverja leið áður en þú snertir kaðal. Raunverulega hættan er ekki göngin; það er að skipta hljóðlega um tækið sem heldur símunum skráðum. Farðu í gegnum fimm athuganir í röð og stöðvaðu þar sem ein bregst.

Skrifaðu niður hlutverkin sem virka þegar

Skráðu sjálfgefna gátt, DHCP-þjóninn, leysinn og tækið sem hefur raddskráningu þjónustuaðilans. Í þessu dæmi er ISP-beinirinn 10.50.0.1, nýja gáttin verður 10.50.0.2 og fjarsvæðið er 10.60.0.0/24. Ekkert í þeirri áætlun breytir fyrstu þremur hlutverkunum, og það er einmitt málið. Staðfestu síðan að önnur einingin geti raunverulega lokið göngunum: skoðaðu samskiptaregluna, væntan gegnumstreymi og hvort hún fái fastbúnaðar- eða pakkauppfærslur. Tæki með VPN-merki og án uppfærsluleiðar er byrði, ekki viðbót.

Ef þú getur ekki sagt hver á raddþjónustuna skaltu stöðva. Að skipta um beininn sem hefur skráningu án afturhvarfsáætlunar gerir VPN-verkefni að símabresti.

Gefðu nýju gáttinni eitt netfang og eitt verk

Festaðu LAN-netfang hennar utan DHCP-safnsins svo það færist ekki eftir endurræsingu, og gefðu henni enga eigin sjálfgefna leið nema þú viljir að hún verði internetleið. Verk hennar er að halda göngunum og svara fyrir fjarskráningar. Á LAN-hýslum sem verða að ná fjarsvæðinu skaltu sanna hvaða leið þau fara núna og hverja þú vilt eftir breytinguna; sömu tvær skipanir fyrir og eftir eru ódýrasta sönnunin.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ef uppflettingin skilar ISP-beininum og traceroute deyr við internetjaðarinn hefur hýsillinn ekki enn fjarlæga leið, sem er viðbúið. Ef hún skilar einhverju óvæntu skaltu leysa það fyrst, því hvert síðara skref gerir ráð fyrir þessum grunni.

Veldu hver á leið fjarskráningarinnar

Valkostur A er ISP-beinirinn: hann heldur kyrrstæðri leið fyrir 10.60.0.0/24 að gáttinni og hver hýsill fylgir sjálfgefinni gátt sinni eins og áður. Valkostur B er á hvern hýsil: aðeins vélarnar sem þurfa fjarsvæðið fá skýra leið í gegnum 10.50.0.2 og allt annað helst ósnert. A er hreinna fyrir marga hýsla en krefst þess venjulega að beinir þjónustuaðilans samþykki kyrrstæða leið, sem sumir gera ekki. B þarf enga samvinnu aðilans en skilur eftir viðhald hýsiluppsetningarinnar hjá þér, svo það hentar litlum samþykktum vélasetti.

Í báðum tilvikum verður afturleiðin að vera til. Ef fjarsvar kemur að gáttinni og gáttin sendir það beint á LAN-hýsil fer umferðin framhjá því eldveggsástandi sem ISP-beinirinn hélt á útleiðinni. Þegar gáttin er ekki sjálfgefinn beinir LANsins, er sá ósamhverfa hönnunarákvörðun, ekki villa sem má hunsa.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Gerðu færsluna varanlega í gegnum eiganda hýsiluppsetningarinnar, ekki í gegnum innskráningarskript. Leið sem er aðeins til eftir að einhver skráir sig inn mun bregðast í fyrsta sinn sem vélin endurræsist af ótengdri ástæðu.

Komdu fyrir aðgengilegum inngangspunkti

Gáttin þarf netfang sem fjarsvæðið getur náð. Að baki ISP-beininum þýðir það portflutning eða DMZ-færslu, og bæði ráðast af því hvort þjónustuaðilinn afhendir umferðina í raun. Staðbundinn flutningur vinnur ekki á rekstraraðila-NAT hjá þjónustuaðilanum. Ef aðilinn gefur engan aðgengilegan punkt skaltu snúa stefnunni við: leyfa báðum svæðum að hefja sig að hnút sem þú stýrir. Það er gild hönnun en bætir þriðju ósjálfstæðinu við fyrir flutning, traust og framboð, og kvikt DNS kemur ekki í staðinn.

Staðfestu flutninginn með upptöku á gáttinni, ekki með vefsvæði sem skannar port. Skannarar segja portið lokað þar til hlustandinn er bundinn, og flutningur sem afhendir aldrei umferð lítur út eins og lokað port að utan.

Samþykktu einkaljónustuna og raddlínuna saman

Prófaðu fyrirhugaða starfsemi frá LAN-hýsli, með einkaaðskilnaði DNS og eigin skilríkjum forritsins. Beinir með leiðum gerir fjarbirtingu ekki líka Ethernet-hluta á staðnum, svo uppgötvun og nafnleysing þurfa eigin fyrirkomulag.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Staðfestu síðan að venjuleg internetaðgangur virki enn frá sama hýsli og að símar séu enn skráðir; þessar tvær athuganir grípa óviljandi breytingu á sjálfgefinni leið, algengasta leiðin sem þetta verkefni brýtur eitthvað sem það ætlaði aldrei að snerta. Ljúktu með skriflegri endurheimtarnótu: hvaða tæki hefur hvaða hlutverk, netföngin sem eru frátekin, og hvernig á að fjarlægja leið fjarskráningarinnar í einu skrefi. Einkaleið sem hægt er að draga til baka hreinlega er meira virði en sú sem virkar bara í dag.