ISP чиглүүлэгчийн дэргэд дуудлага таслахгүйгээр сайтын VPN нэмэх

Ихэнх жижиг сайтууд интернет, DHCP болон дуут шугамыг нэг төхөөрөмжөөр хийдэг бөгөөд тэр төхөөрөмж таны сайтын хонгилыг ажиллуулахгүй. Хувийн замд хоёр дахь гарц нэмэх нь кабельд хүрэхээс өмнө аль маршрут хэнд хамаарахыг шийдвэл ажиллана. Жинхэнэ эрсдэл нь хонгил биш, утсыг бүртгэлтэй байлгах төхөөрөмжийг чимээгүй солих явдал юм. Таван шалгалтыг дараалан хийж, нэг нь бүтэлгүйтсэн газар зогсоорой.

Аль хэдийн ажиллаж байгаа үүргүүдийг бичээрэй

Өгөгдмөл гарц, DHCP сервер, нэр шийдэгч болон үйлчилгээ үзүүлэгчийн дуут бүртгэл бүхий төхөөрөмжийг тэмдэглээрэй. Энэ жишээнд ISP чиглүүлэгч 10.50.0.1, шинэ гарц 10.50.0.2 байх ба алслагдсан сайт 10.60.0.0/24. Тэр төлөвлөгөөнд эхний гурван үүргийг өөрчлөх зүйл байхгүй бөгөөд энэ нь яг гол зүйл юм. Дараа нь хоёр дахь төхөөрөмж хонгилыг үнэхээр дуусгаж чадах эсэхийг баталгаажуулаарай: протокол, хүлээгдэж буй дамжуулах чадвар, firmware эсвэл багц шинэчлэлт авдаг эсэхийг хараарай. VPN логотой боловч шинэчлэлтийн замгүй төхөөрөмж нэмэлт биш, ачаа юм.

Дуут үйлчилгээ хэнд хамаарахыг хэлж чадахгүй бол зогсоорой. Бүртгэл бүхий чиглүүлэгчийг буцаах төлөвлөгөөгүйгээр солих нь VPN төслийг утасны тасалдал болгоно.

Шинэ гарцад нэг хаяг, нэг ажил өгөөрэй

Түүний LAN хаягийг DHCP сангаас гадуур нөөцөлж, дахин ачаалсны дараа хөдлөхгүй байлгаарай, мөн интернетийн зам болгохыг хүсэхгүй бол өөрийн өгөгдмөл маршрутыг бүү өгөөрэй. Түүний үүрэг нь хонгилыг барих, алслагдсан префикст хариу өгөх юм. Алслагдсан сайтад хүрэх ёстой LAN хост дээр тэд одоо ямар замаар явж байгаа, өөрчлөлтийн дараа алийг нь хүсэж байгаагаа нотлоорой; ижил хоёр командыг өмнө болон дараа нь ажиллуулах нь хамгийн хямд нотолгоо.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Хайлт ISP чиглүүлэгчийг буцааж, traceroute интернетийн захад үхвэл хостод алслагдсан зам хараахан байхгүй бөгөөд энэ нь хүлээгдэж буй зүйл. Хэрэв санаандгүй зүйл буцаавал эхлээд түүнийг шийдээрэй, учир нь дараагийн алхам бүр энэ суурийг тооцдог.

Алслагдсан префиксийн маршрут хэнд хамаарахыг сонгоорой

А хувилбар нь ISP чиглүүлэгч: 10.60.0.0/24-ийн гарц руу чиглэсэн статик маршрут барих ба хост бүр урьдын адил өгөгдмөл гарцаа дагана. Б хувилбар нь хост тус бүрээр: алслагдсан сайт хэрэгтэй машинууд л 10.50.0.2-оор тодорхой маршрут авч, бусад нь хөндөгдөхгүй үлдэнэ. А олон хостод цэвэрхэн боловч ихэвчлэн үйлчилгээ үзүүлэгчийн чиглүүлэгч статик маршрутыг хүлээж авахыг шаарддаг, зарим нь авдаггүй. Б үйлчилгээ үзүүлэгчийн хамтын ажиллагаа шаарддаггүй ч хост тохиргооны засвар үйлчилгээг танд үлдээдэг тул бага зөвшөөрөгдсөн машины бүлэгт тохирно.

Хоёр тохиолдолд буцах чиглэл байх ёстой. Алслагдсан хариу гарц руу ирж, гарц түүнийг шууд LAN хост руу дамжуулбал урсгал нь ISP чиглүүлэгчийн гарах замд барьсан галт ханын төлөвийг алгасна. Гарц нь LAN-ийн өгөгдмөл чиглүүлэгч биш бол тэр тэгш бус байдал нь дизайны шийдвэр, үл тоомсорлож болох алдаа биш.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Бичлэгийг хост тохиргооны эзэмшигчээр дамжуулан байнгын болгоорой, нэвтрэх скриптээр биш. Хэн нэгэн нэвтэрсний дараа л байдаг маршрут машиныг хамааралгүй шалтгаанаар дахин ачаалах эхний үед бүтэлгүйтнэ.

Хүрэх боломжтой орох цэгийг бэлтгээрэй

Гарцад алслагдсан сайт хүрч чадах хаяг хэрэгтэй. ISP чиглүүлэгчийн ард энэ нь порт дамжуулалт эсвэл DMZ бичлэг гэсэн үг бөгөөд хоёулаа үйлчилгээ үзүүлэгч урсгалыг үнэхээр хүргэж байгаа эсэхээс хамаарна. Орон нутгийн дамжуулалт нь үйлчилгээ үзүүлэгчийн талын операторын түвшний NAT-ыг даван туулж чадахгүй. Үйлчилгээ үзүүлэгч хүрэх цэг өгөхгүй бол чиглэлийг эргүүлээрэй: хоёр сайт таны хянадаг зангилаа руу эхлэг. Энэ нь хүчинтэй дизайн боловч дамжуулалт, итгэл, хүртээмжид гурав дахь хамаарлыг нэмж, динамик DNS үүнийг орлохгүй.

Дамжуулалтыг гарц дээрх бичлэгээр баталгаажуулаарай, порт сканерладаг вэбсайтаар биш. Сканерууд сонсогч холбогдох хүртэл портыг хаалттай гэж мэдээлдэг бөгөөд хэзээ ч урсгал хүргэдэггүй дамжуулалт гаднаас хаалттай порт шиг харагдана.

Хувийн үйлчилгээ болон дуут шугамыг хамт хүлээн зөвшөөрөөрэй

Төлөвлөсөн ажиллагааг LAN хостод туршаарай, хувийн DNS болон програмын өөрийн итгэмжлэлтэй. Маршрутлагдсан хонгил нь алслагдсан хөтлөлтийг орон нутгийн Ethernet сегмент шиг болгодоггүй тул илрүүлэлт, нэр шийдэл өөрийн зохицуулалт шаардана.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Дараа нь мөн хостод энгийн интернетийн хандалт ажиллаж байгаа, утаснууд бүртгэлтэй хэвээр байгааг баталгаажуулаарай; эдгээр хоёр шалгалт өгөгдмөл маршрутын санамсаргүй өөрчлөлтийг барьдаг бөгөөд энэ төсөл хэзээ ч хүрэхийг хүсээгүй зүйлийг эвдэх хамгийн нийтлэг арга зам. Бичмэл сэргээх тэмдэглэлээр дуусгаарай: ямар төхөөрөмж ямар үүрэгтэй, нөөцлөсөн хаягууд, алслагдсан префиксийн маршрутыг нэг алхамаар хэрхэн арилгах. Цэвэрхэн буцааж авах боломжтой хувийн зам өнөөдөр л ажилладаг замаас илүү үнэ цэнэтэй.