Penghala VPN: LAN dan WAN — apa yang perlu direkod sebelum membeli

Anggap label sedia VPN sebagai satu ciri pada kotak yang juga mesti menghala, membahagi dan bertukar semasa kegagalan, kerana label itu tidak menyatakan berapa banyak rangkaian berasingan peranti boleh menampung. Mulakan dengan menulis rekod keupayaan untuk model dan perisian tegar yang tepat, kemudian bandingkan rekod itu dengan aliran yang diperlukan tapak. Halaman pemasaran menyenaraikan soket; mereka jarang menyenaraikan keahlian VLAN, dasar failover atau skop terowong. Rekod itu mengambil masa kira-kira dua puluh minit dan menyelesaikan kebanyakan perdebatan pembelian sebelum perkakasan tiba.

Tetapkan kotak yang tepat sebelum apa-apa lagi

Nama model bergerak merentas generasi perisian tegar, dan bekas yang sama boleh dihantar dengan pemacu suis berbeza bergantung pada keluaran. Baca identiti papan daripada peranti itu sendiri dan bukan daripada kotak kadbod, supaya setiap dakwaan kemudian terikat pada sesuatu yang boleh anda hasilkan semula. Satu arahan merangkumi model, nama papan dan keluaran perisian tegar pada OpenWrt, dan skrin setara wujud dalam kebanyakan perisian tegar perniagaan.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Tulis rentetan itu dalam rekod, jangan sekali-kali dipendekkan. Kemudian asingkan kerja penghalaan biasa daripada kerja terowong. Peranti yang menghantar paket dengan baik masih boleh enggan menamatkan terowong, dan peranti yang menamatkan terowong mungkin tiada cara untuk memisahkan dua rangkaian tempatan. Menganggap kedua-duanya sebagai satu keperluan menyembunyikan ketidakpadanan sehingga unit sudah dipasang dalam rak, dikonfigurasikan dan separuh dipercayai.

Rekod struktur LAN, bukan bilangan port

Empat soket biasanya bermaksud satu suis, dan suis bermaksud satu domain siaran kecuali VLAN dikonfigurasikan. Itu sesuai untuk rangkaian rumah rata dan salah untuk tapak yang mahu segmen tetamu, segmen pengurusan dan segmen kamera terasing pada kotak yang sama. Rekod port mana tergolong dalam VLAN mana, VLAN mana yang sampai ke CPU dan antara muka mana yang membawa alamat.

Di mana perisian tegar menawarkan VLAN, senarai antara muka menentukan berapa banyak dasar berbeza yang boleh anda tulis. VLAN yang ditakrifkan pada suis tetapi tidak pernah ditetapkan sebagai antara muka tiada alamat dan tiada zon tembok api, jadi ia tidak boleh menguatkuasakan apa-apa sendiri.

Baca keadaan suis dan bukan mempercayai menu. Pada sasaran OpenWrt lama alat suis mencetak peranti yang dikonfigurasikan, dan pada sasaran DSA alat jambatan melaporkan fakta yang sama bagi setiap port, sebab itu keluaran perisian tegar tergolong dalam rekod.

Rekod tingkah laku WAN dan failover

Kaedah akses, pemilikan alamat dan susunan failover tergolong dalam satu baris bagi setiap pautan atas, kerana terowong yang bertahan daripada perubahan WAN bergantung pada ketiga-tiganya. Sesi PPPoE menyambung semula dengan alamat baharu dan menjatuhkan terowong bersamanya, manakala pautan atas DHCP yang mengekalkan pajakannya mungkin tidak berbuat demikian.

Failover juga memerlukan keputusan dasar. Menghantar semua trafik ke pautan sandaran adalah mudah; mengekalkan terowong pada pautan utama sementara trafik web biasa menggunakan sandaran memerlukan penghalaan berasaskan dasar, dan bukan setiap perisian tegar menawarkannya. Catat sama ada terowong terikat pada satu pautan atas, dan apa yang peranti lakukan terhadap sesi yang telah terbentuk apabila pautan itu hilang. Simpan jadual penghalaan sebagai bukti, bukan kotak semak failover.

Uji satu aliran dibenarkan dan satu aliran ditolak

Rekod itu hanya berharga disimpan jika peranti boleh diterima menurutnya. Pilih satu aliran yang mesti berfungsi, satu yang tidak boleh, dan jalankan kedua-duanya daripada klien pada segmen berkenaan. Terowong yang membawa setiap subrangkaian ialah kegagalan apabila keperluan ialah satu subrangkaian.

Kemudian sahkan penolakan itu, kerana lalai yang membenarkan ialah kejutan biasa. Segmen tetamu tidak boleh mencapai alamat pengurusan, dan pemeriksaan harus menunjukkan tamat masa atau penolakan dan bukan halaman log masuk.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Jika aliran dibenarkan berfungsi dan aliran ditolak juga berfungsi, pembahagian tiada walaupun menu mencadangkan sebaliknya. Jika kedua-duanya gagal, skop terowong atau laluan balik adalah salah, dan rekod WAN biasanya menjelaskan yang mana. Simpan kedua-dua keputusan bersama rekod keupayaan supaya penyemak seterusnya melihat apa yang diterima, pada perisian tegar mana dan pada tarikh bila.