Додајте VPN за локацијата покрај ISP рутерот без прекин на повиците

Зачувајте ја интернет и гласовната улога на ISP рутерот, а приватниот пат нека го држи втор портал. Направете ги овие пет проверки пред да смените која било рута.

Повеќето мали локации веќе имаат еден уред што прави интернет, DHCP и гласовната линија, и тој уред нема да го вози тунелот на локацијата. Додавањето втор портал за приватниот пат функционира ако пред да допрете кабел одлучите кој поседува која рута. Вистинскиот ризик не е тунелот, туку тивко да го замените уредот што ги држи телефоните регистрирани. Направете ги петте проверки по ред и застанете каде што една не успее.

Запишете ги улогите што веќе работат

Забележете го стандардниот портал, DHCP серверот, резолверот и уредот што ја има гласовната регистрација кај давателот. Во овој пример ISP рутерот е 10.50.0.1, новиот портал ќе биде 10.50.0.2, а оддалечената локација е 10.60.0.0/24. Ништо во тој план не ги менува првите три улоги, и токму тоа е поентата. Потоа потврдете дека вториот уред навистина може да го заврши тунелот: проверете го протоколот, очекуваниот проток и дали добива ажурирања на фирмвер или пакети. Уред со VPN лого и без пат за ажурирање е товар, а не дополнување.

Ако не можете да кажете чија е гласовната услуга, застанете. Менување на рутерот што има регистрација без план за враќање го претвора VPN проектот во телефонски прекин.

Дајте му на новиот портал една адреса и една задача

Резервирајте ја неговата LAN адреса надвор од DHCP базенот за да не се помести по рестарт, и не давајте му сопствена стандардна рута освен ако сакате да стане интернет пат. Неговата задача е да го држи тунелот и да одговара за оддалечените префикси. На LAN домаќините што мора да стигнат до оддалечената локација, докажете кој пат го користат сега и кој го сакате по промената; истите две команди пред и потоа се најевтиниот доказ.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ако пребарувањето го врати ISP рутерот и traceroute умре на интернет работ, домаќинот сè уште нема оддалечен пат, што е очекувано. Ако врати нешто неочекувано, прво решете го тоа, бидејќи секој следен чекор претпоставува оваа основа.

Изберете чиј е патот до оддалечениот префикс

Опција A е ISP рутерот: држи статична рута за 10.60.0.0/24 кон порталот и секој домаќин ја следи својата стандардна порта како порано. Опција B е по домаќин: само машините на кои им треба оддалечената локација добиваат експлицитна рута преку 10.50.0.2, а сè друго останува недопрено. A е почиста за многу домаќини, но обично бара рутерот на давателот да прифати статична рута, што некои не го прават. B не бара соработка од давателот, но ви ја остава одржувањето на конфигурацијата на домаќините, па одговара на мал одобрен сет машини.

Во двата случаи мора да постои повратен правец. Ако оддалечен одговор дојде до порталот и порталот го препрати директно до LAN домаќин, сообраќајот ја прескокнува состојбата на огнениот ѕид што ISP рутерот ја држеше на излезниот пат. Кога порталот не е стандардниот рутер на LAN, таа асиметрија е дизајнерска одлука, а не грешка што може да се игнорира.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Направете го записот постојан преку сопственикот на конфигурацијата на домаќинот, а не преку скрипта за најава. Рута што постои само откако некој ќе се најави ќе падне првиот пат кога машината ќе се рестартира од неповрзана причина.

Обезбедете достапна влезна точка

Порталот има потреба од адреса до која оддалечената локација може да стигне. Зад ISP рутерот тоа значи пренасочување на порт или DMZ запис, и двете зависат од тоа дали давателот навистина го доставува сообраќајот. Локалното пренасочување не може да го победи NAT на операторско ниво кај давателот. Ако давателот не даде достапна точка, превртете го правецот: нека двете локации иницираат кон јазол што вие го контролирате. Тоа е валиден дизајн, но додава трета зависност за пренасочување, доверба и достапност, а динамичниот DNS не го заменува.

Потврдете го пренасочувањето со снимање на порталот, а не со веб-страница што скенира порти. Скенерите пријавуваат дека портата е затворена додека слушателот не се врзе, а пренасочување што никогаш не доставува сообраќај однадвор изгледа исто како затворена порта.

Прифатете ја приватната услуга и гласовната линија заедно

Тестирајте го предвиденото работење од LAN домаќин, со приватен DNS и сопствените акредитиви на апликацијата. Рутираниот тунел не го прави оддалеченото прелистување како локален Ethernet сегмент, па откривањето и решавањето имиња бараат свои уредувања.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Потоа потврдете дека обичниот интернет пристап од истиот домаќин сè уште работи и телефоните сè уште се регистрирани; тие две проверки фаќаат случајна промена на стандардната рута, најчестиот начин на кој овој проект крши нешто што никогаш не сакал да го допре. Завршете со писмена белешка за враќање: кој уред која улога ја држи, резервираните адреси и како да се отстрани рутата до оддалечениот префикс во еден чекор. Приватен пат што може чисто да се повлече вреди повеќе од оној што работи само денес.

Поврзани статии