VPN maršrutizatorius: LAN ir WAN – ką užsirašyti prieš perkant
VPN žyma nieko nesako apie VLAN, WAN perėjimą gedimo atveju ar tunelių vaidmenis. Užsirašykite tikslias galimybes modelio ir programinės įrangos, kurią ketinate diegti.
Žiūrėkite į VPN paruoštą žymą kaip į vieną įrenginio savybę, kuris taip pat turi maršrutizuoti, segmentuoti ir persijungti gedimo atveju, nes žyma nieko nesako apie tai, kiek atskirų tinklų įrenginys gali laikyti. Pradėkite rašydami galimybių įrašą tiksliam modeliui ir programinei įrangai, tada palyginkite šį įrašą su srautais, kurių reikia vietovei. Rinkodaros puslapiai išvardija lizdus; jie retai išvardija narystę VLAN, perėjimo gedimo atveju politiką ar tunelio apimtį. Įrašas užima apie dvidešimt minučių ir išsprendžia daugumą pirkimo ginčų prieš atvykstant aparatūrai.
Visų pirma užfiksuokite tikslų įrenginį
Modelių pavadinimai keliauja per programinės įrangos kartas, ir tas pats korpusas gali būti tiekiamas su kitu komutatoriaus tvarkykle priklausomai nuo leidimo. Skaitykite plokštės tapatybę iš paties įrenginio, o ne iš dėžutės, kad kiekvienas vėlesnis teiginys būtų susietas su tuo, ką galite atkartoti. Viena komanda apima modelį, plokštės pavadinimą ir programinės įrangos leidimą OpenWrt, o atitinkami ekranai yra daugumoje verslo programinės įrangos.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseĮrašykite tas eilutes į įrašą, niekada nesutrumpintas. Tada atskirkite įprastą maršrutizavimo darbą nuo tunelio darbo. Įrenginys, kuris gerai perduoda paketus, vis tiek gali atsisakyti užbaigti tunelį, o įrenginys, kuris užbaigia tunelį, gali neturėti būdo išlaikyti du vietinius tinklus atskirai. Jei abu traktuojami kaip vienas reikalavimas, neatitikimas slepiasi tol, kol įrenginys jau įmontuotas į stelažą, sukonfigūruotas ir pusiau patikimas.
Užrašykite LAN struktūrą, o ne prievadų skaičių
Keturi lizdai paprastai reiškia vieną komutatorių, o komutatorius reiškia vieną transliacijos sritį, nebent sukonfigūruoti VLAN. Tai tinka plokščiam namų tinklui ir netinka vietovei, kuri tame pačiame įrenginyje nori svečių segmento, valdymo segmento ir izoliuoto kamerų segmento. Užrašykite, kurie prievadai priklauso kuriam VLAN, kurie VLAN pasiekia procesorių ir kurie sąsajos turi adresus.
Kur programinė įranga siūlo VLAN, sąsajų sąrašas nusprendžia, kiek skirtingų politikų galite parašyti. VLAN, apibrėžtas komutatoriuje, bet niekada nepaskirtas sąsaja, neturi adreso ir neturi ugniasienės zonos, todėl pats savaime nieko negali įgyvendinti.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Skaitykite komutatoriaus būseną, o ne pasitikėkite meniu. Senesniuose OpenWrt taikiniuose komutatoriaus įrankis išspausdina sukonfigūruotus įrenginius, o DSA taikiniuose tilto įrankiai praneša tuos pačius faktus kiekvienam prievadui, todėl programinės įrangos leidimas priklauso įrašui.
Užrašykite WAN ir perėjimo gedimo atveju elgseną
Prieigos metodas, adreso nuosavybė ir perėjimo tvarka priklauso vienai eilutei kiekvienai išankstinei jungčiai, nes tunelis, išgyvenantis WAN pokytį, priklauso nuo visų trijų. PPPoE sesija prisijungia iš naujo su nauju adresu ir numeta tunelį kartu, o DHCP išankstinė jungtis, išlaikanti savo nuomą, gali to nedaryti.
Perėjimas gedimo atveju taip pat reikalauja politikos sprendimo. Siųsti visą srautą atsarginei jungčiai lengva; laikyti tunelį pagrindinėje, kol įprastas žiniatinklio srautas naudoja atsarginę, reikia politikos pagrindu veikiančio maršrutizavimo, ir ne kiekviena programinė įranga jį siūlo. Pažymėkite, ar tunelis susietas su viena išankstine jungtimi, ir ką įrenginys daro su nustatytomis sesijomis, kai ta jungtis dingsta. Išsaugokite maršrutizavimo lentelę kaip įrodymą, o ne perėjimo gedimo atveju varnelę.
Išbandykite vieną leistiną ir vieną draudžiamą srautą
Įrašas vertas saugoti tik tada, jei įrenginys gali būti priimtas pagal jį. Pasirinkite vieną srautą, kuris turi veikti, vieną, kuris neturi, ir paleiskite abu iš kliento atitinkamame segmente. Tunelis, pernešantis kiekvieną potinklį, yra nesėkmė, kai reikalavimas buvo vienas potinklis.
Tada patvirtinkite draudimą, nes leidžiantis numatytasis nustatymas yra įprasta staigmena. Svečių segmentas neturi pasiekti valdymo adreso, o tikrinimas turėtų rodyti laiko limitą arba atmetimą, o ne prisijungimo puslapį.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Jei leistinas srautas veikia ir draudžiamas taip pat veikia, segmentavimo trūksta, nors meniu siūlė priešingai. Jei abu nepavyksta, tunelio apimtis arba grįžimo kelias neteisingi, ir WAN įrašas paprastai paaiškina, kuris. Saugokite du rezultatus kartu su galimybių įrašu, kad kitas vertintojas matytų, kas priimta, kokioje programinėje įrangoje ir kokia data.