Втор рутер како VPN порта: што не решава

Поставувањето втор рутер зад главниот е чист начин да им се даде на неколку уреди различен излез. Тоа е и местото каде луѓето очекуваат повеќе изолација отколку што дава уредот. Главната мрежа го задржува својот вообичаен пат, а долната мрежа ја следи политиката на вториот рутер. Она што се случува меѓу нив и она што се случува кога тунелот ќе откаже е делот што вреди да се планира.

Поставката работи. Митовите се за тоа од што штити. Се уште е корисен дизајн; едноставно не е безбедносна граница сам по себе.

Мит: вториот рутер целосно го изолира тунелот

Уредите зад втората порта ја следат нејзината политика. Уредите на главната мрежа не го наследуваат тој тунел, и тоа е поентата. Но вториот рутер се уште има нагорен пат низ првиот, и тој пат е однос што треба да го управувате.

Вториот рутер исто така бара клиентски профил за VPN. Функцијата што прифаќа само дојдовни VPN врски не создава излезен тунел кон давател. Проверете ја поддршката за клиенти во фирмверот пред да го купите хардверот.

Дајте ѝ на долната мрежа подмрежа што не се преклопува. Копирањето примерен опсег без проверка на постојните мрежи е сигурен начин да создадете рутирачка загатка.

Мит: двојниот NAT е само инкапсулацијата на VPN

Две рутирани порти можат да создадат двоен NAT, и тоа е одделно од сопствената инкапсулација на VPN. Вообичаениот излезен сообраќај обично работи. Дојдовниот пристап до услуги бара намерен дизајн, често префрлање порта на двата уреда или сосема друг пристап.

Дополнителниот слој за превод исто така ги прави дневниците потешки за читање. Изворната адреса во дневникот на главниот рутер може да му припаѓа на вториот рутер, а не на уредот што го отстранувате грешките. Тоа вреди да се знае пред да тргнете по фантомски уред.

Запишете го планот за адреси пред да вклучите нешто.

Мит: откривањето поминува затоа што двете LAN добро прелистуваат

Двете мрежи можат да прелистуваат интернет додека откривањето меѓу нив не успее. Телефон на главниот Wi-Fi може да не најде телевизор зад VPN портата, бидејќи multicast откривањето стандардно не преминува рутирана граница. Ако тоа е важно, ви треба рефлектор или друга топологија. Успешното прелистување не е доказ за локално откривање.

Држете го интерфејсот за управување на вториот рутер достапен од овластен пат без да го објавувате на WAN. Зачувајте ја конфигурацијата на двете порти пред да ги промените рутите.

Тестирајте DNS и IPv6, како и видливата излезна адреса. Тунел што носи само IPv4 може да ја протече другата фамилија. Запишете ги двата резултата во записот за промени.

Што всушност ви дава втората порта

Го прави обемот видлив. Можете да покажете на еден уред и да кажете која мрежа го следи тунелот, а домаќинството го задржува својот вообичаен пат. Таа јасност вреди за дополнителниот хардвер во многу домови.

Тоа е се уште уште еден уред за одржување, со пристапни податоци, фирмвер и процес за обновување. Одлучете дали долните уреди треба да запрат или да се вратат кога VPN ќе откаже, и тестирајте го тоа однесување. Портата не ја отстранува оперативната работа; таа ја концентрира. Рецептот за клиент pfSense WireGuard ја покрива страната на тунелот на една вообичаена платформа.