დაამატეთ საიტის VPN ISP როუტერის გვერდით ზარების გაწყვეტის გარეშე

მცირე საიტების უმეტესობას უკვე აქვს ერთი მოწყობილობა, რომელიც ინტერნეტს, DHCP-ს და ხმოვან ხაზს აკეთებს, და ეს მოწყობილობა თქვენი საიტის გვირაბს არ გაუშვებს. კერძო გზისთვის მეორე კარიბჭის დამატება მუშაობს, თუ კაბელზე შეხებამდე გადაწყვეტთ, ვის ეკუთვნის რომელი მარშრუტი. ნამდვილი რისკი გვირაბი არ არის; რისკია ჩუმად შეცვალოთ მოწყობილობა, რომელიც ტელეფონებს რეგისტრირებულად იჭერს. შეასრულეთ ხუთი შემოწმება რიგით და გაჩერდით იქ, სადაც ერთი ვერ გაიარა.

ჩაწერეთ უკვე მომუშავე როლები

დააფიქსირეთ ნაგულისხმევი კარიბჭე, DHCP სერვერი, გადამწყვეტი და მოწყობილობა, რომელსაც პროვაიდერის ხმოვანი რეგისტრაცია აქვს. ამ მაგალითში ISP როუტერია 10.50.0.1, ახალი კარიბჭე იქნება 10.50.0.2, ხოლო დისტანციური საიტი 10.60.0.0/24. ამ გეგმაში არაფერი ცვლის პირველ სამ როლს და სწორედ ეს არის აზრი. შემდეგ დაადასტურეთ, რომ მეორე მოწყობილობას ნამდვილად შეუძლია გვირაბის დასრულება: შეამოწმეთ პროტოკოლი, მოსალოდნელი გამტარუნარიანობა და იღებს თუ არა firmware ან პაკეტების განახლებებს. VPN ლოგოთი და განახლების გზის გარეშე მოწყობილობა ტვირთია, არა დანამატი.

თუ ვერ ამბობთ, ვის ეკუთვნის ხმოვანი სერვისი, გაჩერდით. რეგისტრაციის მქონე როუტერის შეცვლა უკან დაბრუნების გეგმის გარეშე VPN პროექტს ტელეფონის გათიშვად აქცევს.

მიეცით ახალ კარიბჭეს ერთი მისამართი და ერთი დავალება

დაჯავშნეთ მისი LAN მისამართი DHCP აუზის გარეთ, რომ გადატვირთვის შემდეგ არ გადაადგილდეს, და ნუ მისცემთ საკუთარ ნაგულისხმევ მარშრუტს, თუ არ გსურთ, რომ ის ინტერნეტის გზა გახდეს. მისი ამოცანაა გვირაბის შენარჩუნება და დისტანციურ პრეფიქსებზე პასუხი. LAN ჰოსტებზე, რომლებმაც უნდა მიაღწიონ დისტანციურ საიტს, დაამტკიცეთ, რომელ გზას იყენებენ ახლა და რომელი გსურთ ცვლილების შემდეგ; იგივე ორი ბრძანება ადრე და შემდეგ ყველაზე იაფი მტკიცებულებაა.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

თუ ძებნა ISP როუტერს აბრუნებს და traceroute ინტერნეტის კიდეზე კვდება, ჰოსტს ჯერ არ აქვს დისტანციური გზა, რაც მოსალოდნელია. თუ რაღაც მოულოდნელს აბრუნებს, ჯერ ის მოაგვარეთ, რადგან ყოველი შემდეგი ნაბიჯი ამ საფუძველს ვარაუდობს.

აირჩიეთ, ვის ეკუთვნის დისტანციური პრეფიქსის მარშრუტი

ვარიანტი A არის ISP როუტერი: ინახავს სტატიკურ მარშრუტს 10.60.0.0/24-ისთვის კარიბჭისკენ და ყოველი ჰოსტი, როგორც ადრე, თავის ნაგულისხმევ კარიბჭეს მიჰყვება. ვარიანტი B არის ჰოსტის მიხედვით: მხოლოდ იმ მანქანებს, რომლებსაც დისტანციური საიტი სჭირდებათ, აქვთ ცხადი მარშრუტი 10.50.0.2-ის გავლით, დანარჩენი ხელუხლებელი რჩება. A უფრო სუფთაა ბევრი ჰოსტისთვის, მაგრამ ჩვეულებრივ მოითხოვს, რომ პროვაიდერის როუტერმა სტატიკური მარშრუტი მიიღოს, რასაც ზოგი არ აკეთებს. B პროვაიდერის თანამშრომლობას არ ითხოვს, მაგრამ ჰოსტების კონფიგურაციის მოვლას თქვენ გიტოვებთ, ამიტომ პატარა დამტკიცებულ მანქანათა ჯგუფს უხდება.

ორივე შემთხვევაში დაბრუნების მიმართულება უნდა არსებობდეს. თუ დისტანციური პასუხი კარიბჭეს მოდის და კარიბჭე პირდაპირ LAN ჰოსტს უგზავნის, ტრაფიკი გვერდს უვლის firewall-ის მდგომარეობას, რომელსაც ISP როუტერი გასვლის გზაზე ინახავდა. როცა კარიბჭე LAN-ის ნაგულისხმევი როუტერი არ არის, ეს ასიმეტრია დიზაინის გადაწყვეტილებაა და არა უგულებელყოფადი შეცდომა.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

გახადეთ ჩანაწერი მუდმივი ჰოსტის კონფიგურაციის მფლობელის მეშვეობით და არა შესვლის სკრიპტით. მარშრუტი, რომელიც მხოლოდ ვიღაცის შესვლის შემდეგ არსებობს, პირველად მაშინ ჩავარდება, როცა მანქანა უკავშირო მიზეზით გადაიტვირთება.

მოამზადეთ მისაწვდომი შემომავალი წერტილი

კარიბჭეს სჭირდება მისამართი, რომელსაც დისტანციური საიტი მიაღწევს. ISP როუტერის უკან ეს ნიშნავს პორტის გადამისამართებას ან DMZ ჩანაწერს და ორივე დამოკიდებულია იმაზე, ნამდვილად აწვდის თუ არა პროვაიდერი ტრაფიკს. ლოკალური გადამისამართება ვერ გადალახავს პროვაიდერის მხარეს ოპერატორული დონის NAT-ს. თუ პროვაიდერი მისაწვდომ წერტილს არ გაძლევთ, შეაბრუნეთ მიმართულება: ორივე საიტმა დაიწყოს თქვენ მიერ კონტროლირებულ ჰაბთან. ეს ვალიდური დიზაინია, მაგრამ ამატებს მესამე დამოკიდებულებას გადამისამართებისთვის, ნდობისთვის და ხელმისაწვდომობისთვის და დინამიკური DNS მას არ ცვლის.

დაადასტურეთ გადამისამართება კარიბჭეზე გადაღებით და არა პორტების სკანირებადი ვებსაიტით. სკანერები პორტს დახურულად აცხადებენ მანამ, სანამ მსმენელი მიბმული არ არის, და გადამისამართება, რომელიც არასოდეს აწვდის ტრაფიკს, გარედან დახურულ პორტს ჰგავს.

მიიღეთ კერძო სერვისი და ხმოვანი ხაზი ერთად

შეამოწმეთ განზრახული მუშაობა LAN ჰოსტიდან, კერძო DNS-ით და თავად აპლიკაციის სერტიფიკატებით. მარშრუტიზებული გვირაბი დისტანციურ დათვალიერებას ლოკალურ Ethernet სეგმენტს არ დაემსგავსება, ამიტომ აღმოჩენას და სახელების გადაწყვეტას საკუთარი მოწყობა სჭირდება.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

შემდეგ დაადასტურეთ, რომ ჩვეულებრივი ინტერნეტ წვდომა იმავე ჰოსტიდან ჯერ კიდევ მუშაობს და ტელეფონები ჯერ კიდევ რეგისტრირებულია; ეს ორი შემოწმება იჭერს ნაგულისხმევი მარშრუტის შემთხვევით ცვლილებას, რაც ყველაზე გავრცელებული გზაა, რომლითაც ეს პროექტი ამტვრევს იმას, რასაც შეხება არ უნდოდა. დაასრულეთ წერილობითი აღდგენის ჩანაწერით: რომელი მოწყობილობა რომელ როლს ინახავს, დაჯავშნილი მისამართები და როგორ მოაშოროთ დისტანციური პრეფიქსის მარშრუტი ერთი ნაბიჯით. სუფთად უკან დასაბრუნებელი კერძო გზა მეტი ღირს, ვიდრე ის, რომელიც მხოლოდ დღეს მუშაობს.