Setzt eng Site-VPN nieft den ISP-Router, ouni Gespréicher ze briechen

Halt d’Internet- an d’Stëmmroll vum ISP-Router intakt, während en zweete Gateway de private Wee hält. Maacht dës fënnef Kontrollen, ier Dir eng Route ännert.

Déi meescht kleng Standuere hu schonn eng Këscht, déi Internet, DHCP an d’Stëmmlinn mécht, an déi Këscht wäert Ären Tunnel net bedreiwen. En zweeten Gateway fir de private Wee bäisetzen funktionéiert, wann Dir virum Kabelberéieren entscheet, wien all Route gehéiert. De richtege Risiko ass net den Tunnel; et ass de Gerät, dat d’Telefonen registréiert hält, stëllt ëmzesetzen. Maacht déi fënnef Kontrollen an der Rei a stoppt do, wou eng feelt.

Schreift d’Rollen op, déi scho funktionéieren

Notéiert den Standard-Gateway, den DHCP-Server, den Resolver an d’Gerät mat der Stëmmregistratioun vum Provider. An dësem Beispill ass den ISP-Router 10.50.0.1, den neie Gateway wäert 10.50.0.2 sinn, an de wäite Standuert ass 10.60.0.0/24. Näischt an deem Plang ännert déi éischt dräi Rollen, an dat ass genee de Punkt. Da bestätegt, datt déi zweet Këscht Ären Tunnel wierklech kann ofschléissen: kuckt de Protokoll, den erwaarten Duerchfloss a ob se Firmware- oder Package-Updates kritt. En Apparat mat VPN-Logo an ouni Updatewee ass eng Belaaschtung, net eng Ergänzung.

Wann Dir net sot kënnt, wiem de Stëmmdéngscht gehéiert, stoppt. Den Router mat enger Registratioun ouni Réckweeplang ëmzesetzen mécht aus engem VPN-Projet en Telefonsausfall.

Gitt dem neie Gateway eng Adress an eng Aufgab

Reservéiert seng LAN-Adress baussent dem DHCP-Pool, sou datt se no engem Neistart net geet, a gitt him keng eegen Standardroute, ausser Dir wëllt en Internetwee doraus maachen. Seng Aufgab ass den Tunnel ze halen an op wäit Prefixe ze äntweren. Op den LAN-Hoste, déi de wäite Standuert mussen erreechen, beweise wéi ee Wee se just huelen a wéi en Dir no der Ännerung wëllt; déi selwecht zwou Kommandoen virun an duerno sinn dee bëllegste Beweis.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Wann d’Sich den ISP-Router zréckgëtt an den Traceroute um Internetrand stierft, huet den Host nach kee wäite Wee, wat erwaart gëtt. Kënnt eppes onerwaart zréck, léist dat fir d’éischt, well all weideren Schrëtt dës Basis unhëlt.

Wielt, wiem d’Route vum wäite Prefix gehéiert

Optioun A ass den ISP-Router: en hält eng statesch Route fir 10.60.0.0/24 Richtung Gateway, an all Host follegt sengem Standard-Gateway wéi virdrun. Optioun B ass pro Host: nëmmen d’Maschinne, déi de wäite Standuert brauchen, kréien eng explizit Route iwwer 10.50.0.2, an alles anescht bleift onberéiert. A ass méi propper bei ville Hoste, verlaangt awer meeschtens, datt de Provider-Router eng statesch Route akzeptéiert, wat e puer net maachen. B brauch keng Mataarbecht vum Provider, awer léisst Iech d’Host-Konfiguratioun ënnerhalen, dofir passt et zu enger klenger geneemter Maschinneset.

A béide Fäll muss d’Réckrichtung existéieren. Wann eng wäit Äntwert beim Gateway ukënnt an de Gateway se direkt un en LAN-Host weidergëtt, da geet den Traffic laanscht de Firewall-Zoustand, deen den ISP-Router um Hiwwee gehal huet. Wann de Gateway net den Standardrouter vum LAN ass, ass déi Asymmetrie eng Designentscheedung, kee Feeler, deen een ignoréiere kann.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Maacht den Agang dauerhaft iwwer den Eegentümer vun der Host-Konfiguratioun, net iwwer en Alogskript. Eng Route, déi nëmmen no engem Alog existéiert, fällt déi éischt Kéier aus, wann d’Maschinn aus engem onverbonnene Grond nei start.

Schaaft en erreechbare Agangspunkt

De Gateway brauch eng Adress, déi de wäite Standuert erreeche kann. Hannert dem ISP-Router heescht dat eng Portviruleedung oder en DMZ-Agang, an déi zwee hänke dovun of, ob de Provider den Traffic wierklech liwwert. Eng lokal Viruleedung iwwerwënnt keen Carrier-Grade-NAT op der Providersäit. Wann de Provider keen erreechbare Punkt gëtt, dréit d’Richtung ëm: loosst béid Standuere Richtung engem Hub starten, deen Dir kontrolléiert. Dat ass en valabelt Design, awer et setzt eng drëtt Ofhängegkeet fir Viruleedung, Vertrauen an Disponibilitéit derbäi, an dynamesch DNS ersetzt dat net.

Bestätegt d’Viruleedung mat enger Opnam um Gateway, net mat enger Websäit, déi Porte scannt. Scanneren mellen de Port zou, bis de Lauschterer gebonnen ass, an eng Viruleedung, déi ni Traffic liwwert, gesäit vun baussen aus wéi en zouene Port.

Akzeptéiert de privaten Déngscht an d’Stëmmlinn zesummen

Test den ugedachte Betrib vun engem LAN-Host, mat privatem DNS an den eegene Umeldungsdaten vun der Applikatioun. En gerouteten Tunnel mécht d’wäit Surfen net wéi en lokale Ethernet-Segment, dofir brauchen Entdeckung an Nummopléisung hir eege Regele.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Duerno bestätegt, datt den normale Internetzougang vum selwechten Host nach funktionéiert an d’Telefonen nach registréiert sinn; déi zwou Kontrollen erwëschen eng zoufälleg Ännerung vun der Standardroute, dee heefegste Wee, wéi dëse Projet eppes briecht, dat en ni wollt beréieren. Schléisst mat enger schrëftlecher Erhuelungsnotiz of: wéi en Apparat wéi eng Roll huet, déi reservéiert Adressen, a wéi een d’Route vum wäite Prefix an engem Schrëtt ewechhëlt. En private Wee, deen een propper zréckzéie kann, ass méi wäert wéi een, deen nëmmen haut funktionéiert.

Ähnlech Artikelen