VPN maršrutētājs: LAN un WAN — ko pierakstīt pirms iegādes
VPN uzlīme neko nepasaka par VLAN, WAN pārslēgšanos kļūmes gadījumā vai tuneļu lomām. Pierakstiet precīzās iespējas modelim un programmaparatūrai, ko plānojat ieviest.
Uzskatiet VPN gatavības uzlīmi par vienu ierīces īpašību, kurai jāveic arī maršrutēšana, segmentēšana un pārslēgšanās kļūmes gadījumā, jo uzlīme neko nepasaka par to, cik atsevišķu tīklu ierīce var uzturēt. Sāciet ar iespēju reģistra rakstīšanu precīzam modelim un programmaparatūrai, pēc tam salīdziniet šo reģistru ar plūsmām, kas vietnei nepieciešamas. Mārketinga lapas uzskaita ligzdas; tās reti uzskaita dalību VLAN, pārslēgšanās politiku vai tuneļa tvērumu. Reģistrs aizņem apmēram divdesmit minūtes un atrisina lielāko daļu iegādes strīdu pirms aparatūras ierašanās.
Vispirms nofiksējiet precīzo ierīci
Modeļu nosaukumi ceļo pa programmaparatūras paaudzēm, un viens un tas pats korpuss atkarībā no izlaiduma var tikt piegādāts ar citu slēdža draiveri. Lasiet plates identitāti no pašas ierīces, nevis no kartona, lai katrs vēlākais apgalvojums būtu piesaistīts kaut kam, ko varat atkārtot. Viena komanda aptver modeli, plates nosaukumu un programmaparatūras izlaidumu OpenWrt vidē, un līdzvērtīgi ekrāni ir lielākajā daļā biznesa programmaparatūru.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseIerakstiet šīs virknes reģistrā, nekad saīsinātas. Pēc tam atdaliet parasto maršrutēšanas darbu no tuneļa darba. Ierīce, kas labi pārsūta paketes, joprojām var atteikties pabeigt tuneli, un ierīcei, kas pabeidz tuneli, var nebūt veida, kā turēt divus vietējos tīklus atsevišķi. Ja abus uzskata par vienu prasību, neatbilstība paliek apslēpta, līdz iekārta jau ir uzstādīta statnē, konfigurēta un pa pusei uzticama.
Pierakstiet LAN struktūru, nevis portu skaitu
Četras ligzdas parasti nozīmē vienu slēdzi, un slēdzis nozīmē vienu apraides domēnu, ja vien nav konfigurēti VLAN. Tas ir piemērots plakanam mājas tīklam un nepareizs vietnei, kas tajā pašā ierīcē vēlas viesu segmentu, pārvaldības segmentu un izolētu kameru segmentu. Pierakstiet, kuri porti pieder kuram VLAN, kuri VLAN sasniedz procesoru un kuras saskarnes nes adreses.
Kur programmaparatūra piedāvā VLAN, saskarņu saraksts nosaka, cik dažādu politiku varat uzrakstīt. VLAN, kas definēts uz slēdža, bet nekad nav piešķirts kā saskarne, nav adreses un nav ugunsmūra zonas, tāpēc pats par sevi neko nevar īstenot.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Lasiet slēdža stāvokli, nevis uzticieties izvēlnei. Vecākos OpenWrt mērķos slēdža rīks izdrukā konfigurētās ierīces, un DSA mērķos tilta rīki ziņo tos pašus faktus par katru portu, tāpēc programmaparatūras izlaidums pieder reģistram.
Pierakstiet WAN un pārslēgšanās kļūmes gadījumā uzvedību
Piekļuves metode, adreses īpašumtiesības un pārslēgšanās kārtība iet vienā rindā katrai augšupielādes saitei, jo tunelis, kas pārdzīvo WAN maiņu, ir atkarīgs no visiem trim. PPPoE sesija atkārtoti piesakās ar jaunu adresi un nogāž tuneli kopā ar to, savukārt DHCP augšupielādes saite, kas saglabā savu nomu, to var nedarīt.
Pārslēgšanās kļūmes gadījumā prasa arī politisku lēmumu. Sūtīt visu trafiku uz rezerves saiti ir viegli; turēt tuneli uz primārās, kamēr parastais tīmekļa trafiks izmanto rezerves, prasa uz politiku balstītu maršrutēšanu, un ne katra programmaparatūra to piedāvā. Atzīmējiet, vai tunelis ir piesaistīts vienai augšupielādes saitei, un ko ierīce dara ar izveidotajām sesijām, kad šī saite pazūd. Saglabājiet maršrutēšanas tabulu kā pierādījumu, nevis pārslēgšanās izvēles rūtiņu.
Pārbaudiet vienu atļautu un vienu liegto plūsmu
Reģistru ir vērts glabāt tikai tad, ja ierīci var pieņemt saskaņā ar to. Izvēlieties vienu plūsmu, kurai jādarbojas, vienu, kurai nevajadzētu, un palaidiet abas no klienta attiecīgajā segmentā. Tunelis, kas pārvadā katru apakštīklu, ir neveiksme, ja prasība bija viens apakštīkls.
Pēc tam apstipriniet liegumu, jo atļaujošs noklusējums ir ierastais pārsteigums. Viesu segmentam nav jāsasniedz pārvaldības adrese, un pārbaudei jārāda taimauts vai atteikums, nevis pieteikšanās lapa.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Ja atļautā plūsma darbojas un arī liegtā plūsma darbojas, segmentācijas trūkst, lai gan izvēlnes liecināja pretējo. Ja abas neizdodas, tuneļa tvērums vai atgriešanās ceļš ir nepareizs, un WAN reģistrs parasti paskaidro, kurš. Glabājiet abus rezultātus kopā ar iespēju reģistru, lai nākamais pārbaudītājs redzētu, kas pieņemts, kurā programmaparatūrā un kurā datumā.