Router kedua sebagai get laluan VPN: apa yang tidak diselesaikannya

Meletakkan router kedua di belakang router utama ialah cara bersih untuk memberi beberapa peranti jalan keluar berbeza. Di sinilah orang mengharapkan lebih banyak pengasingan daripada yang disediakan peranti. Rangkaian utama mengekalkan laluan biasa, dan rangkaian hiliran mengikut dasar router kedua. Apa yang berlaku antara mereka, dan apa yang berlaku apabila terowong gagal, ialah bahagian yang wajar dirancang.

Persediaan ini berfungsi. Mitosnya adalah tentang apa yang dilindunginya. Ia masih reka bentuk yang berguna; cuma ia bukan sempadan keselamatan dengan sendirinya.

Mitos: router kedua mengasingkan terowong sepenuhnya

Peranti di belakang get kedua mengikut dasarnya. Peranti pada rangkaian utama tidak mewarisi terowong itu, dan itulah maksudnya. Tetapi router kedua masih mempunyai laluan huluan melalui yang pertama, dan laluan itu ialah hubungan yang perlu anda uruskan.

Router kedua juga memerlukan profil klien VPN. Ciri yang hanya menerima sambungan VPN masuk tidak mencipta terowong keluar kepada penyedia. Semak sokongan klien firmware sebelum membeli perkakasan itu.

Berikan rangkaian hiliran subnet yang tidak bertindih. Menyalin julat contoh tanpa menyemak rangkaian sedia ada ialah cara yang boleh dipercayai untuk mencipta teka-teki penghalaan.

Mitos: NAT berganda hanyalah enkapsulasi VPN

Dua get yang dihalakan boleh mencipta NAT berganda, dan itu berasingan daripada enkapsulasi VPN itu sendiri. Trafik keluar biasa biasanya berfungsi. Akses perkhidmatan masuk memerlukan reka bentuk yang disengajakan, selalunya pemajuan port pada kedua-dua peranti atau pendekatan yang sama sekali berbeza.

Lapisan terjemahan tambahan juga menjadikan log lebih sukar dibaca. Alamat sumber dalam log router utama mungkin milik router kedua dan bukan peranti yang anda nyahpepijat. Itu wajar diketahui sebelum anda mengejar peranti hantu.

Tulis pelan alamat sebelum anda menghidupkan apa-apa.

Mitos: penemuan melintas kerana kedua-dua LAN melayari dengan baik

Kedua-dua rangkaian boleh melayari internet sementara penemuan antara mereka gagal. Telefon pada Wi-Fi utama mungkin tidak menemui TV di belakang get VPN, kerana penemuan multicast tidak melintasi sempadan yang dihalakan secara lalai. Jika itu penting, anda memerlukan pemantul atau topologi yang berbeza. Kejayaan melayari bukan bukti penemuan setempat.

Jaga antara muka pengurusan router kedua boleh dicapai dari laluan yang dibenarkan tanpa menerbitkannya pada WAN. Simpan konfigurasi kedua-dua get sebelum anda menukar laluan.

Uji DNS dan IPv6 serta alamat keluar yang kelihatan. Terowong yang hanya membawa IPv4 boleh membocorkan keluarga yang lain. Tulis kedua-dua hasil dalam rekod perubahan.

Apa yang sebenarnya anda dapat daripada get kedua

Ia menjadikan skop kelihatan. Anda boleh menunjuk satu peranti dan mengatakan rangkaian mana yang mengikut terowong, dan isi rumah mengekalkan laluan biasa. Kejelasan itu berbaloi dengan perkakasan tambahan bagi banyak rumah.

Ia masih satu lagi peranti yang perlu diselenggara, dengan kelayakan, firmware dan proses pemulihan. Tentukan sama ada peranti hiliran patut berhenti atau kembali apabila VPN gagal, dan uji tingkah laku itu. Get itu tidak menghapuskan kerja operasi; ia menumpukannya. Resipi klien pfSense WireGuard merangkumi bahagian terowong pada satu platform biasa.