VPN როუტერი: LAN და WAN — რა უნდა ჩაიწეროს ყიდვამდე
VPN ეტიკეტი არაფერს ამბობს VLAN-ებზე, WAN-ის გადართვაზე ან გვირაბების როლებზე. ჩაწერეთ ზუსტი შესაძლებლობები იმ მოდელისა და პროგრამული უზრუნველყოფისთვის, რომლის განთავსებასაც აპირებთ.
მოეპყარით VPN-მზა ეტიკეტს, როგორც ერთ თვისებას მოწყობილობისა, რომელმაც ასევე უნდა მარშრუტიზაცია, სეგმენტაცია და უკმარისობისას გადართვა შეძლოს, რადგან ეტიკეტი არაფერს ამბობს იმაზე, რამდენი ცალკე ქსელის შენახვა შეუძლია მოწყობილობას. დაიწყეთ შესაძლებლობების ჩანაწერის დაწერით ზუსტი მოდელისა და პროგრამული უზრუნველყოფისთვის, შემდეგ შეადარეთ ეს ჩანაწერი იმ ნაკადებს, რომლებიც ობიექტს სჭირდება. მარკეტინგული გვერდები პორტებს ჩამოთვლიან; ისინი იშვიათად ჩამოთვლიან VLAN-ის წევრობას, უკმარისობის პოლიტიკას ან გვირაბის არეალს. ჩანაწერი ოცი წუთი სჭირდება და აპარატურის მოსვლამდე ყიდვის კამათის უმეტეს ნაწილს წყვეტს.
პირველ რიგში ზუსტი მოწყობილობა დაამაგრეთ
მოდელის სახელები პროგრამული უზრუნველყოფის თაობებს შორის გადადის და იგივე კორპუსი შეიძლება სხვა გადამრთველის დრაივერით მოვიდეს გამოშვების მიხედვით. წაიკითხეთ დაფის იდენტურობა თავად მოწყობილობიდან და არა მუყაოს ყუთიდან, რათა ყოველი შემდგომი მტკიცება იყოს მიბმული იმასთან, რისი გამეორებაც შეგიძლიათ. OpenWrt-ზე ერთი ბრძანება მოიცავს მოდელს, დაფის სახელს და პროგრამული უზრუნველყოფის გამოშვებას, და ეკვივალენტური ეკრანები ბიზნეს პროგრამულ უზრუნველყოფათა უმეტესობაში არსებობს.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseჩაწერეთ ეს სტრიქონები ჩანაწერში, არასოდეს შემოკლებული. შემდეგ გამოყავით ჩვეულებრივი მარშრუტიზაციის სამუშაო გვირაბის სამუშაოსგან. მოწყობილობა, რომელიც პაკეტებს კარგად გადასცემს, შეიძლება მაინც უარყოს გვირაბის დასრულება, ხოლო გვირაბის დამამთავრებელ მოწყობილობას შეიძლება არ ჰქონდეს ორი ლოკალური ქსელის განცალკევების საშუალება. თუ ორივეს ერთ მოთხოვნად ჩათვლით, შეუსაბამობა იმალება, სანამ ერთეული უკვე თაროში ჩადგმული, კონფიგურირებული და ნახევრად სანდო არ იქნება.
ჩაწერეთ LAN-ის სტრუქტურა და არა პორტების რაოდენობა
ოთხი ბუდე ჩვეულებრივ ერთ გადამრთველს ნიშნავს, ხოლო გადამრთველი ერთ მაუწყებლობის დომენს, თუ VLAN-ები არ არის კონფიგურირებული. ეს კარგია ბრტყელი სახლის ქსელისთვის და არასწორია ობიექტისთვის, რომელსაც სტუმრის სეგმენტი, მართვის სეგმენტი და იზოლირებული კამერის სეგმენტი სჭირდება იმავე მოწყობილობაზე. ჩაწერეთ რომელი პორტები ეკუთვნის რომელ VLAN-ს, რომელი VLAN-ები აღწევს პროცესორამდე და რომელი ინტერფეისები ატარებს მისამართებს.
სადაც პროგრამული უზრუნველყოფა VLAN-ებს გვთავაზობს, ინტერფეისების სია წყვეტს, რამდენი განსხვავებული პოლიტიკის დაწერა შეგიძლიათ. გადამრთველზე განსაზღვრულ, მაგრამ არასოდეს ინტერფეისად მინიჭებულ VLAN-ს არ აქვს მისამართი და არ აქვს ფაირვოლის ზონა, ამიტომ დამოუკიდებლად ვერაფერს აიძულებს.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
წაიკითხეთ გადამრთველის მდგომარეობა მენიუს ნდობის ნაცვლად. ძველ OpenWrt სამიზნეებზე გადამრთველის ხელსაწყო კონფიგურირებულ მოწყობილობებს ბეჭდავს, ხოლო DSA სამიზნეებზე ხიდის ხელსაწყოები იმავე ფაქტებს აცხადებენ თითოეული პორტისთვის, ამიტომ პროგრამული უზრუნველყოფის გამოშვება ჩანაწერს ეკუთვნის.
ჩაწერეთ WAN-ისა და უკმარისობის გადართვის ქცევა
წვდომის მეთოდი, მისამართის საკუთრება და გადართვის რიგი ერთ ხაზში უნდა იყოს თითოეული ზედა კავშირისთვის, რადგან WAN-ის ცვლილებას გადარჩენილი გვირაბი სამივეზეა დამოკიდებული. PPPoE სესია ახალი მისამართით ხელახლა უკავშირდება და გვირაბს თან აგდებს, მაშინ როცა თავისი იჯარის შენარჩუნებულ DHCP ზედა კავშირმა შეიძლება ეს არ გააკეთოს.
უკმარისობის გადართვას პოლიტიკური გადაწყვეტილებაც სჭირდება. მთელი ტრაფიკის სარეზერვო კავშირზე გაშვება მარტივია; გვირაბის ძირითადზე შენარჩუნება, სანამ ჩვეულებრივი ვებ ტრაფიკი სარეზერვოს იყენებს, პოლიტიკურ მარშრუტიზაციას მოითხოვს და ყველა პროგრამული უზრუნველყოფა არ იძლევა მას. აღნიშნეთ, დაკავშირებულია თუ არა გვირაბი ერთ ზედა კავშირთან და რას აკეთებს მოწყობილობა დამყარებულ სესიებთან, როცა ეს კავშირი ქრება. შეინახეთ მარშრუტიზაციის ცხრილი მტკიცებულებად და არა უკმარისობის გადართვის მოსანიშნი უჯრა.
გამოსცადეთ ერთი ნებადართული და ერთი აკრძალული ნაკადი
ჩანაწერი შენახვად ღირს მხოლოდ მაშინ, თუ მოწყობილობა მის მიხედვით მისაღებია. აირჩიეთ ერთი ნაკადი, რომელიც უნდა მუშაობდეს, ერთი, რომელიც არ უნდა, და გაუშვით ორივე შესაბამისი სეგმენტის კლიენტიდან. ყველა ქვექსელის მატარებელი გვირაბი მარცხია, როცა მოთხოვნა ერთი ქვექსელი იყო.
შემდეგ დაადასტურეთ აკრძალვა, რადგან ნებადართული ნაგულისხმევი ჩვეულებრივი მოულოდნელობაა. სტუმრის სეგმენტი მართვის მისამართს არ უნდა აღწევდეს და შემოწმებამ დროის ამოწურვა ან უარი უნდა აჩვენოს და არა შესვლის გვერდი.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1თუ ნებადართული ნაკადი მუშაობს და აკრძალულიც მუშაობს, სეგმენტაცია აკლია, თუმცა მენიუებმა საწინააღმდეგო მიანიშნა. თუ ორივე ვერ მუშაობს, გვირაბის არეალი ან დაბრუნების გზა არასწორია და WAN-ის ჩანაწერი ჩვეულებრივ ხსნის, რომელი. შეინახეთ ორი შედეგი შესაძლებლობების ჩანაწერთან, რათა შემდეგმა მიმომხილველმა დაინახოს, რა იქნა მიღებული, რომელ პროგრამულ უზრუნველყოფაზე და რომელ თარიღში.