VPN маршрутизаторы: LAN және WAN — сатып алар алдында нені жазу керек
VPN белгісі VLAN, WAN ақаулығында ауысу немесе туннель рөлдері туралы ештеңе айтпайды. Орналастырмақ болған модель мен микробағдарламаның нақты мүмкіндіктерін жазып алыңыз.
VPN-ге дайын белгісін бағдарлау, сегменттеу және ақаулық кезінде ауысу да қажет құрылғының бір функциясы ретінде қарастырыңыз, өйткені белгі құрылғының қанша бөлек желі ұстай алатыны туралы ештеңе айтпайды. Нақты модель мен микробағдарлама үшін мүмкіндіктер жазбасын жазудан бастаңыз, содан кейін оны нысанға қажет ағындармен салыстырыңыз. Маркетингтік беттер порттарды тізімдейді; олар VLAN мүшелігін, ақаулық кезінде ауысу саясатын немесе туннель ауқымын сирек тізімдейді. Жазба шамамен жиырма минут алады және аппарат келмей тұрып сатып алу дауларының көбін шешеді.
Бәрінен бұрын нақты құрылғыны бекітіңіз
Модель атаулары микробағдарлама ұрпақтары бойымен жүреді және бір корпустың өзі шығарылымға қарай басқа коммутатор драйверімен келуі мүмкін. Тақтаның сәйкестігін картоннан емес, құрылғының өзінен оқыңыз, сонда әр кейінгі мәлімдеме қайталай алатын нәрсеге байланысты болады. OpenWrt-те бір команда модельді, тақта атауын және микробағдарлама шығарылымын қамтиды, ал эквивалентті экрандар көптеген бизнес микробағдарламаларында бар.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseБұл жолдарды жазбаға жазыңыз, ешқашан қысқартпаңыз. Содан кейін қарапайым бағдарлау жұмысын туннель жұмысынан бөліңіз. Пакеттерді жақсы жіберетін құрылғы туннельді аяқтаудан бас тартуы мүмкін, ал туннельді аяқтайтын құрылғы екі жергілікті желіні бөлек ұстаудың жолы болмауы мүмкін. Оларды бір талап ретінде қарастыру сәйкессіздікті құрылғы сөреге орнатылып, конфигурацияланып, жартылай сенімді болғанша жасырады.
LAN құрылымын жазыңыз, порт санын емес
Төрт ұя әдетте бір коммутаторды білдіреді, ал коммутатор VLAN конфигурацияланбаса, бір хабар тарату доменін білдіреді. Бұл тегіс үй желісі үшін жарамды және бір құрылғыда қонақ сегментін, басқару сегментін және оқшауланған камера сегментін қалайтын нысан үшін дұрыс емес. Қай порттар қай VLAN-ға жататынын, қай VLAN процессорға жететінін және қай интерфейстер мекенжайларды таситынын жазыңыз.
Микробағдарлама VLAN ұсынатын жерде интерфейстер тізімі қанша бөлек саясат жаза алатыныңызды шешеді. Коммутаторда анықталған, бірақ ешқашан интерфейс ретінде тағайындалмаған VLAN-ның мекенжайы да, брандмауэр аймағы да жоқ, сондықтан ол өз бетінше ештеңені орындай алмайды.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Мәзірге сенудің орнына коммутатор күйін оқыңыз. Ескі OpenWrt мақсаттарында коммутатор құралы конфигурацияланған құрылғыларды шығарады, ал DSA мақсаттарында көпір құралдары әр порт бойынша сол фактілерді хабарлайды, сондықтан микробағдарлама шығарылымы жазбаға жатады.
WAN және ақаулық кезінде ауысу тәртібін жазыңыз
Қатынау әдісі, мекенжай иелігі және ақаулық кезінде ауысу реті әр жоғары байланыс үшін бір жолға кіреді, өйткені WAN өзгерісінен аман қалатын туннель үшеуіне де тәуелді. PPPoE сессиясы жаңа мекенжаймен қайта қосылады және туннельді өзімен бірге түсіреді, ал өз жалдауын сақтайтын DHCP жоғары байланысы олай жасамауы мүмкін.
Ақаулық кезінде ауысу саясат шешімін де талап етеді. Барлық трафикті қосалқы байланысқа жіберу оңай; қарапайым веб-трафик қосалқыны қолданғанда туннельді негізгінде ұстау саясаттық бағдарлауды талап етеді және оны әр микробағдарлама ұсына бермейді. Туннельдің бір жоғары байланысқа байланғанын және сол байланыс жоғалғанда құрылғының орнатылған сессиялармен не істейтінін белгілеңіз. Бағдарлау кестесін дәлел ретінде сақтаңыз, ақаулық кезінде ауысу құсбелгісін емес.
Бір рұқсат етілген және бір тыйым салынған ағынды сынаңыз
Жазба тек құрылғыны соған сай қабылдауға болғанда ғана сақтауға тұрарлық. Бір жұмыс істеуі керек ағынды, бір рұқсат етілмейтін ағынды таңдап, екеуін де тиісті сегменттегі клиенттен іске қосыңыз. Барлық ішкі желілерді таситын туннель талап бір ішкі желі болғанда сәтсіздік.
Содан кейін тыйымды растаңыз, өйткені рұқсатшыл әдепкі — әдеттегі таңсық. Қонақ сегменті басқару мекенжайына жетпеуі керек және тексеру кіру бетін емес, уақыт бітуін немесе бас тартуды көрсетуі керек.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Егер рұқсат етілген ағын жұмыс істеп, тыйым салынған ағын да жұмыс істесе, мәзірлер керісінше меңзесе де сегменттеу жоқ. Егер екеуі де сәтсіз болса, туннель ауқымы немесе қайтару жолы дұрыс емес, және WAN жазбасы қайсысы екенін әдетте түсіндіреді. Екі нәтижені мүмкіндіктер жазбасымен бірге сақтаңыз, келесі шолушы не қабылданғанын, қай микробағдарламада және қай күні көрсін.