ISP маршрутизаторының қасына қоңырауларды үзбей сайт VPN қосыңыз

Көптеген шағын сайттарда интернет, DHCP және дауыс желісін бір құрылғы жасайды, ал ол құрылғы сайттың туннелін жүргізбейді. Жеке жол үшін екінші шлюз қосу кабельге тиіспес бұрын әр маршруттың иесін шешсеңіз жұмыс істейді. Нағыз қауіп — туннель емес, телефондарды тіркеуде ұстайтын құрылғыны үнсіз ауыстыру. Бес тексеруді ретімен орындап, біреуі сәтсіз болған жерде тоқтаңыз.

Қазірдің өзінде жұмыс істейтін рөлдерді жазыңыз

Әдепкі шлюзді, DHCP серверін, шешушіні және провайдердің дауыс тіркеуі бар құрылғыны жазып алыңыз. Бұл мысалда ISP маршрутизаторы 10.50.0.1, жаңа шлюз 10.50.0.2 болады, ал қашықтағы сайт 10.60.0.0/24. Бұл жоспарда алғашқы үш рөлдің ешқайсысы өзгермейді, және мәселе дәл осында. Содан кейін екінші құрылғы туннельді шынымен аяқтай алатынын растаңыз: хаттаманы, күтілетін өткізу қабілетін және firmware немесе пакет жаңартуларын алатынын тексеріңіз. VPN логотипі бар, бірақ жаңарту жолы жоқ құрылғы — қосымша емес, салмақ.

Дауыс қызметі кімдікі екенін айта алмасаңыз, тоқтаңыз. Тіркеуі бар маршрутизаторды қайтару жоспарынсыз ауыстыру VPN жобасын телефон үзілісіне айналдырады.

Жаңа шлюзге бір мекенжай және бір тапсырма беріңіз

Оның LAN мекенжайын DHCP пулынан тыс брондаңыз, сонда қайта жүктеуден кейін жылжымайды, және интернет жолына айналдырғыңыз келмесе, өзіндік әдепкі маршрут бермеңіз. Оның міндеті — туннельді ұстау және қашықтағы префикстерге жауап беру. Қашықтағы сайтқа жетуі керек LAN хосттарында қазір қай жолмен жүретінін және өзгерістен кейін қайсысын қалайтыныңызды дәлелдеңіз; сол екі команданың алдында және кейін орындалуы ең арзан дәлел.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Іздеу ISP маршрутизаторын қайтарса және traceroute интернеттің шетінде өлсе, хостта әлі қашықтағы жол жоқ, бұл күтілетін жағдай. Егер күтпеген нәрсе қайтарса, алдымен соны шешіңіз, өйткені әр келесі қадам осы негізге сүйенеді.

Қашықтағы префикс маршруты кімдікі екенін таңдаңыз

А нұсқасы — ISP маршрутизаторы: ол 10.60.0.0/24 үшін шлюзге бағытталған статикалық маршрут ұстайды, ал әр хост бұрынғыша әдепкі шлюзіне жүреді. В нұсқасы — әр хост бойынша: тек қашықтағы сайт қажет машиналар 10.50.0.2 арқылы айқын маршрут алады, қалғаны тиіспеген күйде қалады. А көп хост үшін тазарақ, бірақ әдетте провайдер маршрутизаторы статикалық маршрутты қабылдауы керек, кейбіреулері қабылдамайды. В провайдердің ынтымақтастығын талап етпейді, бірақ хост конфигурациясының күтімін өзіңізге қалдырады, сондықтан шағын бекітілген машиналар тобына жарасады.

Екі жағдайда да қайту бағыты болуы керек. Егер қашықтағы жауап шлюзге келіп, шлюз оны тікелей LAN хостқа жіберсе, трафик ISP маршрутизаторы шығу жолында ұстаған firewall күйінен өтіп кетеді. Шлюз LAN-ның әдепкі маршрутизаторы болмаса, бұл асимметрия — дизайн шешімі, елемеуге болатын қате емес.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Жазбаны хост конфигурациясының иесі арқылы тұрақты етіңіз, кіру скрипті арқылы емес. Біреу кіргеннен кейін ғана болатын маршрут машина байланыссыз себеппен қайта жүктелгенде бірінші рет сәтсіз болады.

Қолжетімді кіру нүктесін дайындаңыз

Шлюзге қашықтағы сайт жете алатын мекенжай керек. ISP маршрутизаторының артында бұл портты беру немесе DMZ жазбасын білдіреді, екеуі де провайдердің трафикті шынымен жеткізуіне байланысты. Жергілікті беру провайдер жағындағы операторлық деңгейдегі NAT-тан өте алмайды. Провайдер қолжетімді нүкте бермесе, бағытты кері бұрыңыз: екі сайт та сіз басқаратын хабқа қарай бастасын. Бұл жарамды дизайн, бірақ беру, сенім және қолжетімділік үшін үшінші тәуелділік қосады, ал динамикалық DNS оны алмастырмайды.

Беруді шлюздегі ұстау арқылы растаңыз, порттарды сканерлейтін веб-сайт арқылы емес. Сканерлер тыңдаушы байланғанша портты жабық деп хабарлайды, ал ешқашан трафик жеткізбейтін беру сырттан жабық портқа ұқсайды.

Жеке қызметті және дауыс желісін бірге қабылдаңыз

Күтілетін жұмысты LAN хосттан сынап көріңіз, жеке DNS және қолданбаның өз тіркелгі деректерімен. Маршрутталған туннель қашықтағы шолуды жергілікті Ethernet сегментіне ұқсатпайды, сондықтан анықтау мен атауларды шешу өз реттеулерін қажет етеді.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Содан кейін сол хосттан қарапайым интернет қатынасы әлі жұмыс істейтінін және телефондар әлі тіркелгенін растаңыз; бұл екі тексеру әдепкі маршруттың кездейсоқ өзгеруін ұстайды, бұл жобаның ешқашан тиіскісі келмеген нәрсені бұзудың ең жиі жолы. Жазбаша қалпына келтіру жазбасымен аяқтаңыз: қай құрылғы қай рөлді ұстайды, брондалған мекенжайлар және қашықтағы префикс маршрутын бір қадаммен қалай жою керек. Таза кері қайтарылатын жеке жол тек бүгін жұмыс істейтіннен құндырақ.