VPN өчүп калгандагы саясатты маршрутизатордо агымсыз кантип куруу керек
Тандалган туннель кулаганда трафик эмне кылышы керектигин чечиңиз: резервдик туннель, кадимки WAN же блоктоо. Анан аны маршрутизатордо куруп, сынап көрүңүз.
Которулуу так конфигурациялангандай иштеди, жана көйгөй да ушунда эле. Негизги туннель кулаганда маршрутизатор демейки маршрутту кабель модемине которду, ноутбуктар серептөөнү улантты, ал эми эч ким чалган жок. Эки күндөн кийин бирөө каржылык жалпы папканын алты саат бою ачык интернет жолу менен жеткиликтүү болгонун байкады. Маршрутизатордогу VPN которулуу саясаты маршруттоо трюки эмес; бул тандалган жол жок болгондо трафик эмне кылышы керектиги жөнүндө чечим, жана бул чечим жол жок болоордон мурун болушу керек.
Детекторду тандаардан мурун натыйжаны чечиңиз
Адатта үстөлдө үч натыйжа болот: таасир эткен кардарларды резервдик туннель аркылуу жиберүү, аларга кадимки WAN колдонууга уруксат берүү же аларды толугу менен блоктоо. Кайсынысы кайсы VLAN, SSID же түзмөк классына тиешелүү экенин жазыңыз. Бир тегиз “WAN-га өтүү” эрежеси жогорудагы каржылык папканын ачык жолго түшүшүнүн себеби.
Бул үчөө бири-бирин алмаштырбайт. WAN-га кайтуу колдоо столун телефонго жооп берип турууга мажбурлайт, бирок ички аттарды жергиликтүү чечүүчүгө ачат. Резервдик туннель саясатты сактайт, бирок каршы тарап кабыл албаган чыгуу дарегине конушу мүмкүн. Блоктоо эмгек акы VLAN үчүн туура, ал эми туннелди эч качан колдонбогон конок тармагы үчүн туура эмес.
| Натыйжа | Кимге ылайыктуу | Эмне бузулат |
|---|---|---|
| Резервдик туннель | Саясат сакталышы керек, алыскы жетүү керек | Жаңы чыгуу дареги, кайтаруу маршруту, жайыраак ачкыч жаңыртуу |
| Кадимки WAN | Конок же жарыя гана трафиги | Ички аттар, DNS жана IPv6 ачылышы |
| Блоктоо | Эмгек акы, администрация, VPN-га гана тиешелүү баары | Колдонуучулар бардык жетүүдөн ажырап, сизге чалышат |
Детекторду чындап корккон бузулууга ылайыкташтырыңыз
Кол кармашуу абалы, интерфейс абалы жана колдонууга боло турган өткөрүү — бул үч башка сигнал, колдонуучуга акыркысы гана маанилүү. WireGuard өнөктөшү жакында болгон кол кармашууну көрсөтүшү мүмкүн, ал эми провайдердин жогорку агымы пакеттерди кара тешикке ыргытып жатса. OpenVPN кардары өзү түрткөн маршрут чечилбей калгандан кийин да “туташкан” абалында отура алат.
pfSense-те практикалык түзүлүш — dpinger менен азыктанган шлюздар тобу, ал көзөмөл дарегин текшерип, жоготуу же кечигүү анын чектеринен ашканда шлюзду өчүк деп белгилейт. Бул көзөмөлдү туннелден тышкаркы нерсеге багыттаңыз, мисалы алыскы LANдагы хостко же ал аркылуу жеткен жарыя дарекке. Аны туннелдин өз өнөктөш дарегине багыттоо тирүү экенин билип турган бөлүгүн өлчөйт.
Топту резерв акыркы чара бойдон кала тургандай куруңуз
Тегиз мүчөлөр тизмесинин ордуна деңгээлдерди колдонуңуз. Негизги 1-деңгээлде, резервдик туннель 2-деңгээлде, WAN 3-деңгээлде саясаты уруксат берген VLANдар үчүн гана. pfSense-те бул System > Routing > Gateway Groups астында: эки шлюзду тең кошуңуз, аларга ар башка деңгээлдер бериңиз, Trigger Level-ди member down plus packet loss кылып коюңуз, сактаңыз, анан топту интерфейстин демейкиси катары же ага муктаж firewall эрежелеринин Gateway талаасында колдонуңуз.
pfSense 2.5 жана андан жаңы версиялардагы OpenVPN кардар инстанциясы үчүн инстанциянын Default Gateway параметри туннел системанын демейки маршрутун жалпы алмаштырарын чечет. Эреже боюнча саясат маршруттоо сиз болжолдогон маршрут чындап орнотулганда гана күткөндөй иштейт. Өзгөртүүдөн кийин туннелдин статус белгисине ишенүүнүн ордуна Status > Gateways текшериңиз.
Термелүүнүн көбүн эки параметр жаратат. Бирөө — провайдердин өзүнүн кайра топтолушунан кыска текшерүү аралыгы. Экинчиси — негизги менен резерв деңгээлди бөлүшкөн топ, ошондуктан экөө тең дайыма ылайыктуу бойдон калат. Колдонуучуларыңыз өтүүлөрдү сиздин ордуңузга сезишибейин жоготуу жана кечигүү чектери аркылуу гистерезис кошуңуз.
Туннел эч качан ээлик кылбаган жолдорду жабыңыз
Алгач DNS агымдары. Чечүүчү WANда жооп берип, андан сырткары жөнөтүүнү улантат, ошондуктан трафик туннелге кадалган күйүндө аттар ISP аркылуу чечиле берет. Чечүүчүнүн чыгуучу интерфейстерин чектеңиз, ички чечүүчүнү кардарларга түртүңүз жана VPN-га гана тиешелүү VLANдарда калган баары үчүн 53 портун блоктоңуз.
IPv6 өз чечимин талап кылат. Кош стектүү LAN туннелди жоготуп, иштеп турган глобалдык IPv6 демейки маршрутун сактап кала алат, ошондуктан браузерлер IPv6ны артык көрүп, WAN аркылуу чыгышат, ал эми IPv4 толук чектелгендей көрүнөт. Же IPv6ны туннелге маршруттаңыз, же туннел өчүк турганда глобалдык префиксти жарнамалоону токтотуңуз. Жарым саясат эч нерседен жаман, анткени ал иштеп жаткандай көрүнөт.
Анан кайтаруу жолу. Эгер резервдик чыгуу башка булак дарегин колдонсо, каршы тарап трафикти кантип кайтарып жиберүүнү билиши керек, ал эми эски дарекке байланган ар бир абал мурунтан эле өлүк. Негизги кулаганда ачык турган сессиялар көчпөйт; алар мөөнөтү бүткөнчө токтоп турат, ал эми колдонмо эмне кылууну өзү чечет.
Кулоону, термелүүнү жана кайра кирүү жолун сынаңыз
Зыянсыз трафик жүрүп турганда негизгини сууруп алыңыз, анан төрт нерсени окуңуз: Status > Gateways топтун мүчөлөрүнүн абалдары үчүн, pfctl -ss эски шлюзга дагы эле кадалган абалдар үчүн, чыгуу жолу үчүн кардардан traceroute, жана кайсы сервер жооп бергенин көрүү үчүн чечүүчүгө суроо.
Эми аны термелтиңиз. Негизгини отуз секунд көтөрүңүз, отуз секунд түшүрүңүз, эки жолу. Эгер трафик ар бир өтүүнү кууп жүрсө, чектер өтө тар же деңгээлдер туура эмес. Муну өз графигиңиз менен оңдоңуз, антпесе провайдер муну өз графиги менен жасайт.
Акырында маршрутизаторду дагы эле башкара аларыңызды ырастаңыз. Консолдук кабель, башкаруу VLAN же уюлдук модем сыяктуу тилкеден тышкаркы жолду кармаңыз. Сизди сыртта кулпулаган которулуу сынагы — бүтүрө албаган сынак, ал эми жетүүгө мүмкүн эмес маршрутизатор өзү кайта албайт.
Саясатты даяр деп жарыялоодон мурун терминал ачпай төрт суроого жооп бере алышыңыз керек: туннел өчүк турганда кайсы VLANдар WAN колдоно алат, детектор эмнени көзөмөлдөйт жана канча күтөт, кайсы ат серверлери жана IPv6 маршруттары жол менен бирге жылат, жана резерв да ишке ашпаса кантип кайра киресиз. Эгер кандайдыр бир жооп “демейки эмне болсо, ошол” болсо, саясат дагы эле маршрутизатордуку, сиздики эмес.