Tambah VPN tapak di sebelah penghala ISP tanpa memutuskan panggilan

Kebanyakan tapak kecil sudah mempunyai satu kotak yang mengendalikan internet, DHCP dan talian suara, dan kotak itu tidak akan menjalankan terowong tapak anda. Menambah gateway kedua untuk laluan peribadi berfungsi jika anda memutuskan siapa memiliki setiap laluan sebelum menyentuh kabel. Risiko sebenar bukan terowong; ia adalah menukar secara senyap peranti yang mengekalkan telefon berdaftar. Lakukan lima pemeriksaan mengikut urutan dan berhenti di tempat salah satu gagal.

Catat peranan yang sudah berfungsi

Rekod gateway lalai, pelayan DHCP, penyelesai dan peranti yang memegang pendaftaran suara penyedia. Dalam contoh ini penghala ISP ialah 10.50.0.1, gateway baharu akan berada di 10.50.0.2, dan tapak jauh ialah 10.60.0.0/24. Tiada apa dalam pelan itu mengubah tiga peranan pertama, dan itulah maksudnya. Kemudian pastikan kotak kedua benar-benar boleh menamatkan terowong: semak protokol, daya pemprosesan yang dijangka dan sama ada ia menerima kemas kini firmware atau pakej. Peranti dengan logo VPN dan tanpa laluan kemas kini ialah beban, bukan tambahan.

Jika anda tidak boleh menyatakan siapa pemilik perkhidmatan suara, berhenti. Menukar penghala yang memegang pendaftaran tanpa pelan pemulihan menjadikan projek VPN sebagai gangguan telefon.

Beri gateway baharu satu alamat dan satu tugas

Tempah alamat LAN-nya di luar kolam DHCP supaya ia tidak bergerak selepas but semula, dan jangan beri laluan lalai sendiri kecuali anda mahu ia menjadi laluan internet. Tugasnya ialah memegang terowong dan menjawab bagi awalan jauh. Pada hos LAN yang mesti sampai ke tapak jauh, buktikan laluan yang mereka gunakan sekarang dan yang anda mahu selepas perubahan; dua arahan yang sama sebelum dan selepas ialah bukti paling murah.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jika carian mengembalikan penghala ISP dan traceroute mati di pinggir internet, hos itu belum mempunyai laluan jauh, yang memang dijangka. Jika ia mengembalikan sesuatu yang tidak dijangka, selesaikan itu dahulu, kerana setiap langkah seterusnya menganggap asas ini.

Pilih siapa memiliki laluan awalan jauh

Pilihan A ialah penghala ISP: ia memegang laluan statik untuk 10.60.0.0/24 ke arah gateway, dan setiap hos mengikut gateway lalainya seperti sebelum ini. Pilihan B ialah setiap hos: hanya mesin yang memerlukan tapak jauh mendapat laluan eksplisit melalui 10.50.0.2, dan segala-galanya kekal tidak disentuh. A lebih bersih untuk banyak hos, tetapi biasanya memerlukan penghala penyedia menerima laluan statik, yang sesetengahnya tidak. B tidak memerlukan kerjasama penyedia tetapi meninggalkan penyelenggaraan konfigurasi hos kepada anda, jadi ia sesuai untuk set mesin kecil yang diluluskan.

Dalam kedua-dua kes arah balik mesti wujud. Jika balasan jauh tiba di gateway dan gateway memajukannya terus ke hos LAN, trafik melangkau keadaan firewall yang dipegang penghala ISP pada laluan keluar. Apabila gateway bukan penghala lalai LAN, asimetri itu ialah keputusan reka bentuk, bukan pepijat yang boleh diabaikan.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Jadikan entri kekal melalui pemilik konfigurasi hos, bukan melalui skrip log masuk. Laluan yang hanya wujud selepas seseorang log masuk akan gagal kali pertama mesin but semula atas sebab yang tidak berkaitan.

Sediakan titik masuk yang boleh dicapai

Gateway memerlukan alamat yang boleh dicapai oleh tapak jauh. Di belakang penghala ISP itu bermakna pemajuan port atau entri DMZ, dan kedua-duanya bergantung pada penyedia benar-benar menyampaikan trafik. Pemajuan setempat tidak dapat mengatasi NAT gred pembawa di sebelah penyedia. Jika penyedia tidak memberi titik yang boleh dicapai, balikkan arah: biarkan kedua-dua tapak memulakan ke hab yang anda kawal. Itu reka bentuk yang sah, tetapi ia menambah kebergantungan ketiga untuk pemajuan, kepercayaan dan ketersediaan, dan DNS dinamik tidak menggantikannya.

Sahkan pemajuan dengan tangkapan di gateway, bukan dengan laman web yang mengimbas port. Pengimbas melaporkan port tertutup sehingga pendengar terikat, dan pemajuan yang tidak pernah menyampaikan trafik kelihatan dari luar seperti port tertutup.

Terima perkhidmatan peribadi dan talian suara sekali gus

Uji operasi yang dimaksudkan dari hos LAN, dengan DNS peribadi dan kelayakan aplikasi itu sendiri. Terowong yang dihalakan tidak membuat pelayaran jauh kelihatan seperti segmen Ethernet setempat, jadi penemuan dan penyelesaian nama memerlukan pengaturan sendiri.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Kemudian pastikan akses internet biasa masih berfungsi dari hos yang sama dan telefon masih berdaftar; kedua-dua pemeriksaan itu menangkap perubahan laluan lalai yang tidak disengajakan, cara paling biasa projek ini merosakkan sesuatu yang tidak pernah ingin disentuhnya. Akhiri dengan nota pemulihan bertulis: peranti mana memegang peranan mana, alamat yang ditempah, dan cara membuang laluan awalan jauh dalam satu langkah. Laluan peribadi yang boleh ditarik balik dengan bersih lebih bernilai daripada yang hanya berfungsi hari ini.