Pievienojiet vietnes VPN blakus ISP maršrutētājam, nepārtraucot zvanus

Lielākajai daļai mazu vietņu jau ir viena iekārta, kas nodrošina internetu, DHCP un balss līniju, un šī iekārta nevedīs jūsu vietnes tuneli. Otras vārtejas pievienošana privātajam ceļam darbojas, ja pirms kabeļa aizskaršanas izlemjat, kam pieder katrs maršruts. Īstais risks nav tunelis, bet klusi nomainīt ierīci, kas uztur tālruņus reģistrētus. Veiciet piecas pārbaudes pēc kārtas un apstājieties tur, kur viena neizdodas.

Pierakstiet lomas, kas jau darbojas

Fiksējiet noklusējuma vārteju, DHCP serveri, atrisinātāju un ierīci, kurā ir pakalpojumu sniedzēja balss reģistrācija. Šajā piemērā ISP maršrutētājs ir 10.50.0.1, jaunā vārteja būs 10.50.0.2, bet attālinātā vieta 10.60.0.0/24. Nekas šajā plānā nemaina pirmās trīs lomas, un tieši tā ir būtība. Pēc tam pārbaudiet, vai otrā iekārta tiešām var pabeigt tuneli: apskatiet protokolu, gaidīto caurlaidspēju un vai tā saņem programmaparatūras vai pakotņu atjauninājumus. Ierīce ar VPN logotipu un bez atjaunināšanas ceļa ir nasta, nevis papildinājums.

Ja nevarat pateikt, kam pieder balss pakalpojums, apstājieties. Maršrutētāja ar reģistrāciju nomaiņa bez atgriešanas plāna pārvērš VPN projektu tālruņa pārtraukumā.

Dodiet jaunajai vārtejai vienu adresi un vienu uzdevumu

Rezervējiet tās LAN adresi ārpus DHCP kopas, lai tā pēc pārstartēšanas nepārvietotos, un nedodiet tai savu noklusējuma maršrutu, ja vien nevēlaties, lai tā kļūtu par interneta ceļu. Tās uzdevums ir uzturēt tuneli un atbildēt par attālinātajiem prefiksiem. LAN resursos, kuriem jāsasniedz attālinātā vieta, pierādiet, pa kādu ceļu tie iet tagad un kādu vēlaties pēc izmaiņām; tie paši divi komandas pirms un pēc ir lētākais pierādījums.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ja meklēšana atgriež ISP maršrutētāju un traceroute mirst interneta malā, resursam vēl nav attālināta ceļa, kas ir gaidīts. Ja tā atgriež kaut ko negaidītu, vispirms to atrisiniet, jo katrs nākamais solis balstās uz šo pamatu.

Izvēlieties, kam pieder attālinātā prefiksa maršruts

A variants ir ISP maršrutētājs: tas uztur statisku maršrutu 10.60.0.0/24 virzienā uz vārteju, un katrs resurs, kā iepriekš, iet caur savu noklusējuma vārteju. B variants ir pa resursiem: tikai mašīnas, kurām vajadzīga attālinātā vieta, saņem skaidru maršrutu caur 10.50.0.2, un viss pārējais paliek neskarts. A ir tīrāks daudziem resursiem, bet parasti prasa, lai pakalpojumu sniedzēja maršrutētājs pieņemtu statisku maršrutu, ko daži nedara. B neprasa sniedzēja sadarbību, bet atstāj jums resursu konfigurācijas uzturēšanu, tāpēc tas der mazai apstiprinātai mašīnu kopai.

Abos gadījumos ir jābūt atgriešanās virzienam. Ja attālināta atbilde nonāk vārtejā un vārteja to pārsūta tieši uz LAN resursu, trafiks apiet ugunsmūra stāvokli, ko ISP maršrutētājs uzturēja izejas ceļā. Ja vārteja nav LAN noklusējuma maršrutētājs, šī asimetrija ir projektēšanas lēmums, nevis kļūda, ko var ignorēt.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Padariet ierakstu pastāvīgu caur resursa konfigurācijas īpašnieku, nevis pieteikšanās skriptu. Maršruts, kas pastāv tikai pēc tam, kad kāds piesakās, neizdosies pirmajā reizē, kad mašīna tiek pārstartēta nesaistīta iemesla dēļ.

Nodrošiniet sasniedzamu ienākošo punktu

Vārtejai vajadzīga adrese, ko attālinātā vieta var sasniegt. Aiz ISP maršrutētāja tas nozīmē porta pāradresāciju vai DMZ ierakstu, un abi ir atkarīgi no tā, vai sniedzējs tiešām piegādā trafiku. Vietējā pāradresācija nevar pārvarēt operatora līmeņa NAT sniedzēja pusē. Ja sniedzējs nedod sasniedzamu punktu, apgrieziet virzienu: ļaujiet abām vietām iniciēt uz mezglu, ko kontrolējat jūs. Tas ir derīgs projekts, bet pievieno trešo atkarību pāradresācijai, uzticībai un pieejamībai, un dinamiskais DNS to neaizstāj.

Apstipriniet pāradresāciju ar uztveršanu vārtejā, nevis ar vietni, kas skenē portus. Skeneri ziņo portu kā aizvērtu, līdz klausītājs ir piesaistīts, un pāradresācija, kas nekad nepiegādā trafiku, no ārpuses izskatās tāpat kā aizvērts ports.

Pieņemiet privāto pakalpojumu un balss līniju kopā

Pārbaudiet paredzēto darbību no LAN resursa, ar privātu DNS un pašas lietotnes akreditācijas datiem. Maršrutēts tunelis nepadara attālinātu pārlūkošanu līdzīgu vietējam Ethernet segmentam, tāpēc atklāšanai un vārdu izšķiršanai vajadzīga sava kārtība.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Pēc tam apstipriniet, ka parastā interneta piekļuve no tā paša resursa joprojām darbojas un tālruņi joprojām ir reģistrēti; šīs divas pārbaudes uztver nejaušu noklusējuma maršruta izmaiņu, visbiežāko veidu, kā šis projekts salauž kaut ko, ko nekad nav gribējis aizskart. Pabeidziet ar rakstisku atjaunošanas piezīmi: kura ierīce kuru lomu uztur, rezervētās adreses un kā vienā solī noņemt attālinātā prefiksa maršrutu. Tīri atsaucams privātais ceļš ir vērtīgāks par to, kas darbojas tikai šodien.