Маршрутчлагч дээр VPN-ийн шилжилтийн бодлогыг гоожуулалгүйгээр хэрхэн байгуулах
Сонгосон туннель унахад трафик юу хийх ёстойг шийдээрэй: нөөц туннель, энгийн WAN эсвэл блоклох. Дараа нь маршрутчлагч дээр байгуулж туршина уу.
Шилжилт яг тохируулсан шиг ажилласан бөгөөд энэ нь л асуудал байв. Үндсэн туннель унасан үед маршрутчлагч анхдагч маршрутыг кабелийн модем руу шилжүүлж, зөөврийн компьютерүүд үргэлжлүүлэн вэб хөтөлж, хэн ч утасдаагүй. Хоёр хоногийн дараа хэн нэгэн санхүүгийн хуваалцсан хавтас зургаан цагийн турш нээлттэй интернетийн замаар хүртээмжтэй байсныг анзаарчээ. Маршрутчлагч дээрх VPN-ийн шилжилтийн бодлого бол маршрутын заль мэх биш; сонгосон зам алга болоход трафик юу хийх ёстой тухай шийдвэр бөгөөд энэ шийдвэр зам алга болохоос өмнө байх ёстой.
Илрүүлэгчийг сонгохын өмнө үр дүнг шийдээрэй
Ихэвчлэн ширээн дээр гурван үр дүн байдаг: нөлөөлөлд өртсөн клиентүүдийг нөөц туннелээр илгээх, тэдэнд энгийн WAN ашиглахыг зөвшөөрөх, эсвэл бүрэн блоклох. Аль нь аль VLAN, SSID эсвэл төхөөрөмжийн ангилалд хамаарахыг бичээрэй. Ганц тэгш “WAN руу шилжих” дүрэм нь дээрх санхүүгийн хавтас нийтийн замд орсон шалтгаан юм.
Эдгээр гурав нь хоорондоо солигддоггүй. WAN руу буцах нь дэмжлэгийн ширээг утсанд хариулуулж байх боловч дотоод нэрсийг локал шийдэгчид ил болгоно. Нөөц туннель бодлогыг хадгалдаг боловч нөгөө тал хүлээн зөвшөөрөхгүй гарах хаяг дээр бууж болно. Блоклох нь цалингийн VLAN-д зөв, туннелийг хэзээ ч ашиглаагүй зочны сүлжээнд буруу.
| Үр дүн | Хэнд тохиромжтой | Юу эвдэрдэг |
|---|---|---|
| Нөөц туннель | Бодлого хадгалагдах ёстой, алсын хандалт хэрэгтэй | Шинэ гарах хаяг, буцах маршрут, удаан түлхүүр шинэчлэлт |
| Энгийн WAN | Зочин эсвэл зөвхөн нийтийн трафик | Дотоод нэрс, DNS болон IPv6 илчлэлт |
| Блоклох | Цалин, админ, зөвхөн-VPN бүх зүйл | Хэрэглэгчид бүх хандалтаа алдаж, таныг утсаар дуудна |
Илрүүлэгчийг үнэхээр айж буй гэмтэлд тохируулаарай
Гар барилтын төлөв, интерфэйсийн төлөв, ашиглах боломжтой дамжуулалт нь гурван өөр дохио бөгөөд хэрэглэгчид зөвхөн сүүлийнх нь чухал. WireGuard хамтрагч саяхны гар барилтыг харуулж болох боловч нийлүүлэгчийн дээд урсгал пакетийг хар нүх рүү хаяж байна. OpenVPN клиент өөрөө түлхсэн маршрут шийдэгдэхээ болиод ч “холбогдсон” төлөвт сууж болно.
pfSense дээр практик зохион байгуулалт нь dpinger-ээр тэжээгддэг гарцын бүлэг бөгөөд хяналтын хаягийг шалгаж, алдагдал эсвэл саатал түүний босгоос хэтэрвэл гарцыг унтарсан гэж тэмдэглэдэг. Тэр хяналтыг туннелээс цааш ямар нэгэн зүйл рүү чиглүүлээрэй, жишээ нь алслагдсан LAN дахь хост эсвэл түүгээр дамжин хүрэх нийтийн хаяг. Үүнийг туннелийн өөрийн хамтрагч хаяг руу чиглүүлэх нь амьд гэдгийг та аль хэдийн мэдэж байгаа хэсгийг хэмждэг.
Нөөц нь сүүлийн арга хэвээр үлдэхээр бүлгийг байгуулаарай
Хавтгай гишүүний жагсаалтын оронд шатлал ашиглаарай. Үндсэн нь 1-р шатанд, нөөц туннель 2-р шатанд, WAN 3-р шатанд зөвхөн бодлого зөвшөөрсөн VLAN-уудад. pfSense дээр энэ нь System > Routing > Gateway Groups доор байдаг: хоёр гарцыг нэмж, өөр өөр шатлал өгч, Trigger Level-ийг member down plus packet loss болгож тохируулаад хадгалаад, дараа нь бүлгийг интерфэйсийн анхдагч болгон эсвэл шаардлагатай галт ханын дүрмүүдийн Gateway талбарт хэрэглээрэй.
pfSense 2.5 ба түүнээс хойшхи хувилбар дээрх OpenVPN клиент инстанцын хувьд инстанцын Default Gateway тохиргоо нь туннель системийн анхдагч маршрутыг ер нь солих эсэхийг шийддэг. Дүрмээр бодлогын маршрутлалт нь таны таамаглаж буй маршрут үнэхээр суулгагдсан үед л хүлээсэн ёсоор ажиллана. Өөрчлөлтийн дараа туннелийн төлөвийн дүрсэд итгэхийн оронд Status > Gateways шалгаарай.
Хоёр тохиргоо чичирхийллийн ихэнхийг үүсгэдэг. Нэг нь нийлүүлэгчийн өөрийн дахин нэгдэлтээс богино шалгалтын завсарлага. Нөгөө нь үндсэн ба нөөц шатлалыг хуваалцдаг бүлэг бөгөөд хоёулаа үргэлж тохирох хэвээр байдаг. Хэрэглэгчид таны оронд шилжилтийг мэдрэхээс өмнө алдагдал ба саатлын босгоор гистерезис нэмээрэй.
Туннель хэзээ ч эзэмшээгүй замуудыг хааарай
Эхлээд DNS гоожуулалт. Шийдэгч WAN дээр хариулж, тэндээс гадагш дамжуулсаар байдаг тул трафик туннельд хадагдсан байхад нэрс ISP-ээр дамжин шийдэгдсээр байна. Шийдэгчийн гадагшлах интерфэйсүүдийг хязгаарлаж, дотоод шийдэгчийг клиентүүд рүү түлхэж, зөвхөн-VPN VLAN-уудад бусад бүх зүйлд 53 портыг блоклоорой.
IPv6 өөрийн шийдвэр шаарддаг. Хос стект LAN туннелээ алдаж, ажиллаж буй дэлхийн IPv6 анхдагч маршрутыг хадгалж чаддаг тул хөтөчүүд IPv6-г илүүд үзэж WAN-аар гардаг бол IPv4 бүрэн хязгаарлагдсан мэт харагдана. IPv6-г туннель руу маршрутлах эсвэл туннель унасан үед дэлхийн префиксийг зарлахаа зогсоо. Хагас бодлого нь юу ч байхгүйгээс дор, учир нь ажиллаж байгаа мэт харагддаг.
Дараа нь буцах зам. Хэрэв нөөц гарц өөр эх хаяг ашиглавал нөгөө тал трафикийг хэрхэн буцааж явуулахыг мэдэх ёстой бөгөөд хуучин хаягтай холбогдсон аливаа төлөв аль хэдийн үхсэн. Үндсэн унасан үед нээлттэй байсан сессүүд шилждэггүй; тэд хугацаа дуустал зогсоод, аппликейшн юу хийхээ шийддэг.
Уналт, чичирхийлэл, буцаж орох замыг туршаарай
Хор хөнөөлгүй трафик явж байхад үндсэнийг сугалж, дараа нь дөрвөн зүйлийг уншаарай: Status > Gateways бүлгийн гишүүдийн төлөвт, pfctl -ss хуучин гарцад хадагдсан төлөвт, гарах замд зориулж клиентээс traceroute, аль сервер хариулсныг харах шийдэгчийн асуулга.
Одоо чичирхийлүүлээрэй. Үндсэнийг гучан секунд өргөж, гучан секунд буулга, хоёр удаа. Трафик шилжилт бүрийг дагаж байвал босго хэт чанга эсвэл шатлал буруу байна. Үүнийг өөрийн хуваариар засаарай, эс бөгөөс нийлүүлэгч үүнийг өөрийн хуваариар хийнэ.
Эцэст нь маршрутчлагчийг удирдаж чадаж байгаагаа баталгаажуулаарай. Консолын кабель, удирдлагын VLAN эсвэл үүрэн модем зэрэг зурвасаас гадуур зам бариарай. Таныг түгжих шилжилтийн туршилт бол дуусгаж чадахгүй туршилт бөгөөд хүрэх боломжгүй маршрутчлагч өөрөө эргэж чадахгүй.
Бодлогыг дууссан гэж зарлахаас өмнө терминал нээхгүйгээр дөрвөн асуултад хариулах боломжтой байх ёстой: туннель унасан үед аль VLAN WAN ашиглаж болох, илрүүлэгч юуг ажиглаж, хэдийг хүлээх, ямар нэрийн серверүүд болон IPv6 маршрутууд замтай хамт хөдөлдөг, нөөц нь ч бүтэлгүйтвэл хэрхэн буцаж ордог. Хэрэв аль нэг хариулт “анхдагч нь юу байсан тэр” бол бодлого одоо ч маршрутчлагчийнх, таных биш.