Otrs maršrutētājs kā VPN vārteja: ko tas neatrisina

Otra maršrutētāja novietošana aiz galvenā ir tīrs veids, kā dažām ierīcēm dot citu izeju. Šī ir arī vieta, kur cilvēki sagaida vairāk izolācijas, nekā ierīce nodrošina. Galvenais tīkls saglabā savu parasto ceļu, un apakšējais tīkls seko otrā maršrutētāja politikai. Tas, kas notiek starp tiem, un tas, kas notiek, kad tunelis sabrūk, ir daļa, ko ir vērts plānot.

Iestatījums darbojas. Mīti ir par to, no kā tas aizsargā. Tas joprojām ir noderīgs dizains; vienkārši pats par sevi tas nav drošības robeža.

Mīts: otrais maršrutētājs pilnībā izolē tuneli

Ierīces aiz otrās vārtejas seko tās politikai. Galvenā tīkla ierīces šo tuneli nemanto, un tā ir būtība. Bet otrajam maršrutētājam joprojām ir augšupceļš caur pirmo, un šis ceļš ir attiecības, kas jums jāpārvalda.

Otrajam maršrutētājam nepieciešams arī VPN klienta profils. Funkcija, kas pieņem tikai ienākošos VPN savienojumus, neveido izejošu tuneli pie pakalpojumu sniedzēja. Pirms aparatūras iegādes pārbaudiet programmaparatūras klienta atbalstu.

Piešķiriet apakšējam tīklam apakštīklu, kas nepārklājas. Parauga diapazona kopēšana, nepārbaudot esošos tīklus, ir uzticams veids, kā izveidot maršrutēšanas mīklu.

Mīts: dubultais NAT ir tikai VPN iekapsulēšana

Divas maršrutētas vārtejas var izveidot dubulto NAT, un tas ir atsevišķi no paša VPN iekapsulēšanas. Parastā izejošā satiksme parasti darbojas. Ienākošā servisu piekļuve prasa apzinātu dizainu, bieži vien portu pāradresāciju abās ierīcēs vai pilnīgi citu pieeju.

Papildu tulkošanas slānis arī padara žurnālus grūtāk lasāmus. Avota adrese galvenā maršrutētāja žurnālā var piederēt otrajam maršrutētājam, nevis ierīcei, kuru jūs atkļūdojat. To ir vērts zināt pirms fantoma ierīces izsekošanas.

Pierakstiet adrešu plānu, pirms kaut ko ieslēdzat.

Mīts: atklāšana šķērso, jo abi LAN labi pārlūko

Abi tīkli var pārlūkot internetu, kamēr atklāšana starp tiem neizdodas. Tālrunis galvenajā Wi-Fi var neatrast televizoru aiz VPN vārtejas, jo multicast atklāšana pēc noklusējuma nešķērso maršrutētu robežu. Ja tas ir svarīgi, jums vajag atstarotāju vai citu topoloģiju. Veiksmīga pārlūkošana nav lokālas atklāšanas pierādījums.

Turiet otrā maršrutētāja pārvaldības saskarni sasniedzamu no atļauta ceļa, nepublicējot to WAN. Saglabājiet abu vārteju konfigurāciju pirms maršrutu maiņas.

Pārbaudiet DNS un IPv6, kā arī redzamo izejas adresi. Tunelis, kas pārvadā tikai IPv4, var noplūst otru saimi. Ierakstiet abus rezultātus izmaiņu žurnālā.

Ko otrā vārteja jums patiešām dod

Tā padara apjomu redzamu. Varat norādīt uz vienu ierīci un pateikt, kurš tīkls seko tunelim, un mājsaimniecība saglabā savu parasto ceļu. Šī skaidrība daudzām mājām ir vērta papildu aparatūras.

Tā joprojām ir vēl viena uzturama ierīce ar akreditācijas datiem, programmaparatūru un atjaunošanas procesu. Izlemiet, vai apakšējām ierīcēm jāapstājas vai jāatgriežas, kad VPN sabrūk, un pārbaudiet šo uzvedību. Vārteja nenovērš operatīvo darbu; tā to koncentrē. pfSense WireGuard klienta recepte aptver tuneļa pusi vienā izplatītā platformā.