VPN рутер: LAN и WAN — што да се запише пред купување

Третирајте ја ознаката „подготвено за VPN“ како една карактеристика на уред што мора и да рутира, да сегментира и да се префрли при отказ, бидејќи ознаката не кажува ништо за тоа колку одделни мрежи може да држи уредот. Започнете со пишување запис за можности за точниот модел и фирмвер, потоа споредете го тој запис со тековите што му се потребни на локацијата. Маркетинг страниците наведуваат приклучоци; тие ретко наведуваат членство во VLAN, политика за префрлање при отказ или опсег на тунел. Записот трае околу дваесет минути и решава повеќето расправии за купување пред да пристигне хардверот.

Како прво, фиксирајте го точниот уред

Имињата на моделите патуваат низ генерации на фирмвер, а истото куќиште може да се испорача со различен драјвер за прекинувач зависно од изданието. Читајте го идентитетот на плочата од самиот уред, а не од картонот, за секое подоцнежно тврдење да биде врзано за нешто што можете да го репродуцирате. Една команда го покрива моделот, името на плочата и изданието на фирмверот во OpenWrt, а еквивалентните екрани постојат во повеќето деловни фирмвери.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Запишете ги тие низи во записот, никогаш скратени. Потоа одделете ја обичната работа за рутирање од работата за тунел. Уред што добро проследува пакети сепак може да одбие да заврши тунел, а уред што завршува тунел може да нема начин да одржува две локални мрежи одделени. Ако двете се третираат како еден услов, неусогласеноста се крие додека единицата веќе не е монтирана во регал, конфигурирана и половина доверлива.

Запишете ја структурата на LAN, не бројот на порти

Четири приклучоци обично значат еден прекинувач, а прекинувачот значи еден домен на емитување, освен ако не се конфигурирани VLAN. Тоа е во ред за рамна домашна мрежа и погрешно за локација што сака гостински сегмент, управен сегмент и изолиран сегмент за камери на истиот уред. Запишете кои порти припаѓаат на кој VLAN, кои VLAN стигнуваат до процесорот и кои интерфејси носат адреси.

Каде фирмверот нуди VLAN, списокот на интерфејси одлучува колку различни политики можете да напишете. VLAN дефиниран на прекинувачот но никогаш доделен како интерфејс нема адреса и нема зона на огнена брана, па сам по себе не може да наметне ништо.

Читајте ја состојбата на прекинувачот наместо да му верувате на менито. На постари цели на OpenWrt алатката за прекинувач ги печати конфигурираните уреди, а на цели со DSA мостните алатки ги известуваат истите факти по порта, затоа изданието на фирмверот припаѓа во записот.

Запишете го однесувањето на WAN и на префрлањето при отказ

Методот на пристап, сопственоста на адресата и редоследот на префрлање припаѓаат на еден ред по нагорна врска, бидејќи тунел што преживува промена на WAN зависи од сите три. PPPoE сесијата повторно се поврзува со нова адреса и го урива тунелот со себе, додека DHCP нагорна врска што го задржува својот закуп може да не го стори тоа.

Префрлањето при отказ бара и одлука за политика. Испраќањето на целиот сообраќај на резервната врска е лесно; држењето на тунелот на примарната додека обичниот веб сообраќај ја користи резервната бара рутирање по политика, и не секој фирмвер го нуди. Забележете дали тунелот е врзан за една нагорна врска и што прави уредот со воспоставените сесии кога таа врска исчезнува. Зачувајте ја табелата за рутирање како доказ, а не полето за префрлање при отказ.

Тестирајте еден дозволен и еден забранет тек

Записот вреди да се чува само ако уредот може да се прифати според него. Изберете еден тек што мора да работи, еден што не смее, и извршете ги двата од клиент во соодветниот сегмент. Тунел што носи секоја подмрежа е неуспех кога барањето беше една подмрежа.

Потоа потврдете го одбивањето, бидејќи дозволувачкото стандардно подесување е вообичаеното изненадување. Гостинскиот сегмент не смее да ја достигне управната адреса, и проверката треба да покаже истек на време или одбивање, а не страница за најава.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Ако дозволениот тек работи и забранетиот тек исто така работи, сегментацијата недостасува иако менијата сугерираа спротивно. Ако и двата не успеат, опсегот на тунелот или повратната патека е погрешен, и записот за WAN обично објаснува кој. Чувајте ги двата резултати со записот за можности за да види следниот прегледувач што е прифатено, на кој фирмвер и на кој датум.