VPN-Router: LAN an WAN — wat virum Kaf ze notéieren ass
E VPN-Etiquette seet näischt iwwer VLANen, WAN-Failover oder Tunnellrollen. Schréift déi genau Fäegkeeten op fir de Modell an d'Firmware, déi Dir wëllt asetzen.
Behandelt eng „VPN-fäeg“ Etiquette als eng Eegeschaft vun engem Apparat, deen och muss routen, segmentéieren an am Fehlerfall ëmschalten, well d'Etiquette seet näischt doriwwer, wéi vill getrennte Netzwierker den Apparat hale kann. Fänkt un, en Fäegkeetsprotokoll fir de geneeë Modell an d'Firmware ze schreiwen, a vergläicht dëse Protokoll duerno mat de Flëss, déi den Site brauch. Marketing-Säite listéieren Uschlëss; si listéieren selten VLAN-Memberschaft, Failover-Politik oder Tunnelsëmfang. De Protokoll dauert ongeféier zwanzeg Minutten an entscheet déi meescht Kafdiskussiounen, ier d'Hardware ukënnt.
Fixéiert déi genee Këscht virun allem aneren
Modellnimm reesen iwwer Firmware-Generatiounen, an déiselwecht Gehäuse kann jee no Release mat engem aneren Switch-Treiber ausgeliwwert ginn. Liest d'Board-Identitéit vum Apparat selwer an net vum Karton, sou datt all spéider Behauptung uppes ugebonnen ass, wat Dir kënnt reproduzéieren. Een eenzegen Uerder deckt Modell, Boardnumm a Firmware-Release op OpenWrt of, an déi gläichwäerteg Écranen existéieren an de meeschte Geschäftsfirmwaren.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseSchreift déi Zeecheketten an de Protokoll, ni verkierzt. Trennt duerno déi gewéinlech Routing-Aufgab vun der Tunnelsaufgab. En Apparat, deen d'Pakete gutt weiderleet, kann nach ëmmer refuséieren en Tunnel ze terminéieren, an en Apparat, deen en Tunnel terminéiert, huet vläicht keng Manéier fir zwou lokal Netzwierker getrennt ze halen. Wann een déi zwee als eng Ufuerderung behandelt, verstoppt sech d'Diskrepanz, bis d'Eenheet schonn am Rack montéiert, konfiguréiert an hallef vertraut ass.
Notéiert d'LAN-Struktur, net d'Portzuel
Véier Uschlëss bedeiten normalerweis ee Switch, an ee Switch bedeit eng Broadcast-Domän, ausser VLANen sinn konfiguréiert. Dat ass gutt fir en flaacht Heemnetzwierk a falsch fir en Site, deen e Gaaschtsegment, e Managementsegment an en isoléiert Camerasegment op der selwechter Këscht wëll. Notéiert, wéi eng Porten zu wéi engem VLAN gehéieren, wéi eng VLANen d'CPU erreechen a wéi eng Interface Adressen droen.
Wou d'Firmware VLANen ubitt, entscheet d'Interface-Lëscht, wéi vill verschidde Politiken Dir kënnt schreiwen. En VLAN, deen um Switch definéiert awer ni als Interface zougewisen ass, huet keng Adress a keng Firewallzon, dofir kann et eleng näischt duerchsetzen.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Liest de Switchzoustand anstatt dem Menü ze vertrauen. Op eelere OpenWrt-Ziler dréckt de Switch-Tool déi konfiguréiert Apparater, an op DSA-Ziler berichten d'Brécken-Tools déiselwecht Fakten pro Port, dofir gehéiert de Firmware-Release an de Protokoll.
Schreift d'WAN- an d'Failover-Verhalen op
Zougangsmethod, Adressbesëtz an d'Failover-Reiefolleg gehéieren op eng Linn pro Uplink, well en Tunnel, deen eng WAN-Ännerung iwwerlieft, vun allen dräi ofhänkt. Eng PPPoE-Sessioun verbënnt sech mat enger neier Adress erëm a werft den Tunnel mat sech, wärend en DHCP-Uplink, deen säi Bail behält, dat vläicht net mécht.
Failover brauch och eng politesch Decisioun. All Trafik op de Reserveverbindung ze schécken ass einfach; den Tunnel op der primärer ze halen, während gewéinlechen Webtrafik de Reserve benotzt, erfuerdert Policy-Routing, an net all Firmware bitt dat. Notéiert, ob den Tunnel un en eenzegen Uplink gebonnen ass a wat den Apparat mat etabléierte Sessiounen mécht, wann deen Uplink verschwënnt. Hällt d'Routingtabell als Beweis fest, net d'Failover-Checkbox.
Test eng erlaabte Floss an eng verworf Floss
De Protokoll ass nëmme wäert ze halen, wann den Apparat dergéint ka akzeptéiert ginn. Wielt eng Floss, déi muss funktionéieren, eng, déi net dierf, a fuert béid vun engem Client um betraffene Segment aus. En Tunnel, deen all Subnetz dréit, ass e Feeler, wann d'Ufuerderung een Subnetz war.
Bestätegt duerno d'Oflehnung, well en erlaabende Standard déi gewéinlech Iwwerraschung ass. D'Gaaschtsegment dierf d'Managementadress net erreechen, an d'Préiwung soll en Timeout oder eng Oflehnung weisen an net eng Login-Säit.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Wann déi erlaabt Floss funktionéiert an déi verworf Floss och, dann feelt d'Segmentéierung, och wann d'Menüen anescht suggeréiert hunn. Wann béid scheiteren, ass den Tunnelsëmfang oder de Réckwee falsch, an de WAN-Protokoll erkläert normalerweis wéien. Hällt déi zwou Resultater beim Fäegkeetsprotokoll, sou datt den nächsten Iwwerpréifer gesäit, wat akzeptéiert gouf, op wéi enger Firmware an op wéi engem Datum.