Екінші маршрутизатор VPN шлюзі ретінде: ол нені шешпейді

Екінші маршрутизаторды негізгінің артына қою — бірнеше құрылғыға басқа шығу жолын берудің таза тәсілі. Бұл сонымен қатар адамдар құрылғы беретіннен көбірек оқшаулауды күтетін жер. Негізгі желі әдеттегі жолын сақтайды, ал төменгі желі екінші маршрутизатордың саясатын ұстанады. Олардың арасында не болатыны және туннель істен шыққанда не болатыны — жоспарлауға тұрарлық бөлік.

Конфигурация жұмыс істейді. Аңыздар оның нені қорғайтыны туралы. Бұл әлі де пайдалы дизайн; тек өздігінен қауіпсіздік шекарасы емес.

Аңыз: екінші маршрутизатор туннельді толық оқшаулайды

Екінші шлюздің артындағы құрылғылар оның саясатын ұстанады. Негізгі желідегі құрылғылар бұл туннельді мұра етпейді, мәселе осында. Бірақ екінші маршрутизатордың әлі де бірінші арқылы жоғары бағытталған жолы бар, және бұл жол — басқаруға тиісті қатынас.

Екінші маршрутизаторға VPN клиенттік профилі де қажет. Тек кіріс VPN қосылымдарын қабылдайтын функция провайдерге шығатын туннель жасамайды. Аппаратты сатып алар алдында прошивканың клиенттік қолдауын тексеріңіз.

Төменгі желіге қабаттаспайтын ішкі желі беріңіз. Бар желілерді тексермей үлгі диапазонын көшіру — маршруттау жұмбағын жасаудың сенімді жолы.

Аңыз: қос NAT — тек VPN инкапсуляциясы

Екі маршрутталған шлюз қос NAT жасай алады, және бұл VPN-нің өз инкапсуляциясынан бөлек. Кәдімгі шығыс трафигі әдетте жұмыс істейді. Кіріс қызметке қол жеткізу әдейі дизайнды қажет етеді, көбінесе екі құрылғыда да портты бағыттауды немесе мүлде басқа тәсілді.

Қосымша аударма қабаты журналдарды оқуды да қиындатады. Негізгі маршрутизатор журналындағы бастау мекенжайы сіз жөндеп жатқан құрылғыға емес, екінші маршрутизаторға тиесілі болуы мүмкін. Елес құрылғының соңына түспес бұрын мұны білген жөн.

Бірдеңені қоспас бұрын мекенжай жоспарын жазыңыз.

Аңыз: екі LAN да жақсы шолып шыққандықтан, табу өтеді

Екі желі де интернетті шола алады, ал олардың арасындағы табу сәтсіз аяқталады. Негізгі Wi-Fi-дегі телефон VPN шлюзінің артындағы теледидарды таба алмауы мүмкін, өйткені multicast табу әдепкіде маршрутталған шекарадан өтпейді. Егер бұл маңызды болса, сізге шағылыстырғыш немесе басқа топология керек. Шолудың сәттілігі жергілікті табудың дәлелі емес.

Екінші маршрутизатордың басқару интерфейсін WAN-да жарияламай, рұқсат етілген жолдан қолжетімді ұстаңыз. Маршруттарды өзгерту алдында екі шлюздің конфигурациясын сақтаңыз.

DNS және IPv6-ны, сондай-ақ көрінетін шығу мекенжайын тексеріңіз. Тек IPv4 тасымалдайтын туннель екінші отбасын ағызуы мүмкін. Екі нәтижені де өзгерістер жазбасына жазыңыз.

Екінші шлюз нақты нені береді

Ол ауқымды көрінетін етеді. Сіз бір құрылғыға сілтеп, қай желі туннельді ұстанатынын айта аласыз, ал үй шаңырағы әдеттегі жолын сақтайды. Бұл анықтық көптеген үйлер үшін қосымша аппаратқа тұрарлық.

Ол әлі де күтімді қажет ететін тағы бір құрылғы: тіркелгі деректері, прошивка және қалпына келтіру процесі бар. VPN істен шыққанда төменгі құрылғылардың тоқтауы немесе қайта оралуы керек пе, соны шешіңіз және бұл әрекетті тексеріңіз. Шлюз операциялық жұмысты жоймайды; оны шоғырландырады. pfSense WireGuard клиентінің рецепті туннель жағын бір кең тараған платформада қамтиды.