Pridėkite svetainės VPN prie ISP maršrutizatoriaus nenutraukdami skambučių

Dauguma mažų aikštelių jau turi vieną įrenginį, kuris daro internetą, DHCP ir balso liniją, ir tas įrenginys neves jūsų aikštelės tunelio. Antro šliuzo privačiam keliui pridėjimas veikia, jei prieš liesdami kabelį nuspręsite, kam priklauso kiekvienas maršrutas. Tikroji rizika ne tunelis, o tyliai pakeisti įrenginį, kuris laiko telefonus užregistruotus. Atlikite penkis patikrinimus iš eilės ir sustokite ten, kur vienas nepavyksta.

Užrašykite vaidmenis, kurie jau veikia

Užfiksuokite numatytąjį šliuzą, DHCP serverį, sprendėją ir įrenginį, kuriame yra tiekėjo balso registracija. Šiame pavyzdyje ISP maršrutizatorius yra 10.50.0.1, naujasis šliuzas bus 10.50.0.2, o nuotolinė aikštelė 10.60.0.0/24. Niekas tame plane nekeičia pirmųjų trijų vaidmenų, ir būtent tai yra esmė. Tada patikrinkite, ar antras įrenginys tikrai gali užbaigti tunelį: pažiūrėkite protokolą, laukiamą pralaidumą ir ar gauna programinės įrangos ar paketų atnaujinimus. Įrenginys su VPN logotipu ir be atnaujinimo kelio yra našta, o ne papildymas.

Jei negalite pasakyti, kam priklauso balso paslauga, sustokite. Maršrutizatoriaus su registracija keitimas be grąžinimo plano paverčia VPN projektą telefono sutrikimu.

Duokite naujam šliuzui vieną adresą ir vieną užduotį

Rezervuokite jo LAN adresą už DHCP telkinio, kad po perkrovimo nejudėtų, ir neduokite jam savo numatytojo maršruto, nebent norite, kad jis taptų interneto keliu. Jo užduotis yra laikyti tunelį ir atsakyti už nuotolinius prefiksus. LAN hostuose, kurie turi pasiekti nuotolinę aikštelę, įrodykite, kokiu keliu jie eina dabar ir kokio norite po pakeitimo; tie patys du komandos prieš ir po yra pigiausias įrodymas.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jei paieška grąžina ISP maršrutizatorių, o traceroute miršta interneto krašte, hostas dar neturi nuotolinio kelio, ko ir tikimasi. Jei grąžina ką nors netikėto, pirmiausia tai išspręskite, nes kiekvienas vėlesnis žingsnis remiasi šiuo pagrindu.

Pasirinkite, kam priklauso nuotolinio prefikso maršrutas

A variantas yra ISP maršrutizatorius: jis laiko statinį maršrutą 10.60.0.0/24 link šliuzo, o kiekvienas hostas, kaip ir anksčiau, eina per savo numatytąjį šliuzą. B variantas yra pagal hostą: tik mašinos, kurioms reikia nuotolinės aikštelės, gauna aiškų maršrutą per 10.50.0.2, o visa kita lieka nepaliesta. A yra švaresnis daugeliui hostų, bet paprastai reikalauja, kad tiekėjo maršrutizatorius priimtų statinį maršrutą, ko kai kurie nedaro. B nereikalauja tiekėjo bendradarbiavimo, bet palieka jums prižiūrėti hostų konfigūraciją, todėl tinka mažam patvirtintam mašinų rinkiniui.

Abiem atvejais turi egzistuoti grąžos kryptis. Jei nuotolinis atsakymas ateina į šliuzą ir šliuzas perduoda jį tiesiai LAN hostui, srautas apeina ugniasienės būseną, kurią ISP maršrutizatorius laikė išėjimo kelyje. Kai šliuzas nėra LAN numatytasis maršrutizatorius, ši asimetrija yra projektinis sprendimas, o ne klaida, kurios galima nepaisyti.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Įrašą padarykite nuolatiniu per hosto konfigūracijos savininką, o ne per prisijungimo scenarijų. Maršrutas, kuris egzistuoja tik po to, kai kas nors prisijungia, suges pirmą kartą mašiną perkrovus dėl nesusijusios priežasties.

Parūpinkite pasiekiamą įeinantį tašką

Šliuzui reikia adreso, kurį nuotolinė aikštelė gali pasiekti. Už ISP maršrutizatoriaus tai reiškia prievado peradresavimą arba DMZ įrašą, ir abu priklauso nuo to, ar tiekėjas tikrai pristato srautą. Vietinis peradresavimas neįveikia operatoriaus lygio NAT tiekėjo pusėje. Jei tiekėjas neduoda pasiekiamo taško, apverskite kryptį: leiskite abiem aikštelėms inicijuoti į jūsų valdomą mazgą. Tai galiojantis sprendimas, bet prideda trečią priklausomybę peradresavimui, pasitikėjimui ir prieinamumui, o dinaminis DNS to nepakeičia.

Patvirtinkite peradresavimą užfiksuodami šliuze, o ne svetaine, kuri skenuoja prievadus. Skeneriai praneša prievadą esant uždarą, kol klausytojas nesurištas, o peradresavimas, kuris niekada nepristato srauto, iš išorės atrodo kaip uždaras prievadas.

Priimkite privačią paslaugą ir balso liniją kartu

Išbandykite numatytą veikimą iš LAN hosto, su privačiu DNS ir pačios programos kredencialais. Maršrutizuotas tunelis nepadaro nuotolinio naršymo panašaus į vietinį Ethernet segmentą, todėl aptikimui ir vardų sprendimui reikia savo tvarkos.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Tada patvirtinkite, kad įprasta prieiga prie interneto iš to paties hosto vis dar veikia ir telefonai vis dar užregistruoti; šie du patikrinimai pagauna atsitiktinį numatytojo maršruto pakeitimą, dažniausią būdą, kuriuo šis projektas sugadina tai, ko niekada nenorėjo liesti. Užbaikite rašytine atkūrimo pastaba: kuris įrenginys turi kurį vaidmenį, rezervuoti adresai ir kaip vienu žingsniu pašalinti nuotolinio prefikso maršrutą. Švariai atšaukiamas privatus kelias vertas daugiau nei tas, kuris veikia tik šiandien.