ISP роутеринин жанына чалууларды үзбөстөн сайт VPN кошуңуз

Көпчүлүк кичинекей сайттарда интернет, DHCP жана үн линиясын бир түзмөк аткарат, ал эми ал түзмөк сайттын туннелин жүргүзбөйт. Жеке жол үчүн экинчи шлюз кошуу кабельге тийүүдөн мурун ар бир маршруттун ээсин чечсеңиз иштейт. Чыныгы коркунуч туннель эмес, телефондорду каттоодо кармаган түзмөктү унчукпай алмаштыруу. Беш текшерүүнү ирети менен аткарып, бири ийгиликсиз болгон жерде токтоңуз.

Азыр иштеп жаткан ролдорду жазыңыз

Демейки шлюзди, DHCP серверин, чечүүчүнү жана провайдердин үн каттоосу бар түзмөктү жазып алыңыз. Бул мисалда ISP роутери 10.50.0.1, жаңы шлюз 10.50.0.2 болот, ал эми алыскы сайт 10.60.0.0/24. Бул планда алгачкы үч роль өзгөрбөйт, кеп ушунда. Андан кийин экинчи түзмөк туннелди чындап бүтүрө аларын текшериңиз: протоколду, күтүлгөн өткөрүү жөндөмүн жана firmware же пакет жаңыртууларын аларын караңыз. VPN логотиби бар, бирок жаңыртуу жолу жок түзмөк — кошумча эмес, жүк.

Үн кызматы кимдики экенин айта албасаңыз, токтоңуз. Каттоосу бар роутерди артка кайтаруу планы жок алмаштыруу VPN долбоорун телефон үзүлүшүнө айландырат.

Жаңы шлюзге бир дарек жана бир тапшырма бериңиз

Анын LAN дарегин DHCP бассейнинин сыртында ээлеп коюңуз, ошондо кайра жүктөөдөн кийин жылбайт, жана интернет жолуна айландыргыңыз келбесе, өзүнүн демейки маршрутун бербеңиз. Анын милдети — туннелди кармоо жана алыскы префикстерге жооп берүү. Алыскы сайтка жетиши керек LAN хостторунда азыр кайсы жол менен жүргөнүн жана өзгөрүүдөн кийин кайсынысын каалаарыңызды далилдеңиз; ошол эки буйруктун мурун жана кийин аткарылышы эң арзан далил.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Издөө ISP роутерин кайтарса жана traceroute интернеттин четидде өлсө, хостто азырынча алыскы жол жок, бул күтүлгөн нерсе. Эгер күтүлбөгөн нерсе кайтарса, адегенде ошону чечиңиз, анткени ар бир кийинки кадам ушул негизге таянат.

Алыскы префикс маршруту кимдики экенин тандаңыз

А варианты — ISP роутери: ал 10.60.0.0/24 үчүн шлюзге багытталган статикалык маршрутту кармайт, ар бир хост мурункудай демейки шлюзине жүрөт. В варианты — ар бир хост боюнча: алыскы сайт керек болгон машиналар гана 10.50.0.2 аркылуу ачык маршрут алат, калганы тийбейт. А көп хост үчүн тазараак, бирок адатта провайдердин роутери статикалык маршрутту кабыл алышы керек, кээ бирлери албайт. В провайдердин кызматташуусун талап кылбайт, бирок хост конфигурациясынын тейлөөсү сизде калат, ошондуктан кичинекей бекитилген машиналар тобуна ылайыктуу.

Эки учурда тең кайтуу багыты болушу керек. Эгер алыскы жооп шлюзге келип, шлюз аны түз LAN хостко жиберсе, трафик ISP роутери чыгуу жолунда кармаган firewall абалынан өтүп кетет. Шлюз LANдын демейки роутери болбосо, бул асимметрия — долбоордук чечим, көңүл бурбай коюуга боло турган ката эмес.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Жазууну хост конфигурациясынын ээси аркылуу туруктуу кылыңыз, кирүү скрипти аркылуу эмес. Бирөө киргенден кийин гана боло турган маршрут машина байланышсыз себептен кайра жүктөлгөндө биринчи жолу ийгиликсиз болот.

Жеткиликтүү кирүү чекитин даярдаңыз

Шлюзге алыскы сайт жете ала турган дарек керек. ISP роутеринин артында бул портту өткөрүү же DMZ жазуусун билдирет, экөө тең провайдердин трафикти чындап жеткирүүсүнө байланыштуу. Жергиликтүү өткөрүү провайдер тараптагы оператордук деңгээлдеги NATтан өтө албайт. Провайдер жеткиликтүү чекит бербесе, багытты тескери буруңуз: эки сайт тең сиз башкарган хабга карай баштасын. Бул жарактуу долбоор, бирок өткөрүү, ишеним жана жеткиликтүүлүк үчүн үчүнчү көз карандылыкты кошот, ал эми динамикалык DNS аны алмаштырбайт.

Өткөрүүнү шлюздеги кармоо менен тастыктаңыз, портторду сканерлеген веб-сайт менен эмес. Сканерлер угуучу байланганга чейин портту жабык деп билдирет, ал эми эч качан трафик жеткирбеген өткөрүү сырттан жабык портко окшош.

Жеке кызматты жана үн линиясын бирге кабыл алыңыз

Күтүлгөн ишти LAN хосттон сынап көрүңүз, жеке DNS жана тиркеменин өзүнүн эсептик маалыматтары менен. Маршрутталган туннель алыскы серептөөнү жергиликтүү Ethernet сегментине окшоштурбайт, ошондуктан аныктоо жана аттарды чечүү өз жөнгө салууларын талап кылат.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Андан кийин ошол хосттон кадимки интернет байланышы дагы иштеп жатканын жана телефондор дагы катталганын тастыктаңыз; бул эки текшерүү демейки маршруттун кокустан өзгөрүшүн кармайт, бул долбоор эч качан тийүүнү көздөбөгөн нерсени бузуунун эң кеңири таралган жолу. Жазуу түрүндөгү калыбына келтирүү жазуусу менен бүтүрүңүз: кайсы түзмөк кайсы ролду кармайт, ээленген даректер жана алыскы префикс маршрутун бир кадам менен кантип алып салуу керек. Таза кайтарып алууга боло турган жеке жол бүгүн гана иштегенден кымбат.