Żid VPN tas-sit ħdejn ir-router tal-ISP mingħajr ma tqaċċat it-telefonati

Żomm ir-rwol tal-internet u tal-vuċi tar-router tal-ISP sħiħ waqt li t-tieni gateway iżomm il-passaġġ privat. Agħmel dawn il-ħames verifiki qabel ma tbiddel xi rotta.

Il-biċċa l-kbira tas-siti żgħar għandhom diġà kaxxa waħda li tagħmel l-internet, id-DHCP u l-linja tal-vuċi, u dik il-kaxxa mhix se tmexxi t-tunnel tas-sit tiegħek. Iż-żieda ta’ tieni gateway għall-passaġġ privat taħdem jekk tiddeċiedi min jippossjedi kull rotta qabel ma tmiss cable. Ir-riskju veru mhuwiex it-tunnel; huwa li tbiddel bil-kwiet l-apparat li jżomm it-telefonati reġistrati. Agħmel il-ħames verifiki fl-ordni u waqaf fejn waħda tfalli.

Ikteb ir-rwoli li diġà jaħdmu

Irreġistra l-gateway default, is-server DHCP, ir-resolver u l-apparat li għandu r-reġistrazzjoni tal-vuċi tal-fornitur. F’dan l-eżempju r-router tal-ISP huwa 10.50.0.1, il-gateway il-ġdid se jkun 10.50.0.2, u s-sit imbiegħed huwa 10.60.0.0/24. Xejn f’dak il-pjan ma jbiddel l-ewwel tliet rwoli, u dan huwa eżattament il-punt. Imbagħad ikkonferma li t-tieni kaxxa tista’ tassew ttemm it-tunnel: ħares lejn il-protokoll, it-throughput mistenni u jekk tirċevix aġġornamenti tal-firmware jew tal-pakketti. Apparat b’logo VPN u mingħajr triq ta’ aġġornament huwa piż, mhux żieda.

Jekk ma tistax tgħid min jippossjedi s-servizz tal-vuċi, waqaf. Li tbiddel ir-router li għandu reġistrazzjoni mingħajr pjan ta’ ritorn ibiddel proġett VPN f’ qtugħ tat-telefon.

Agħti lill-gateway il-ġdid indirizz wieħed u xogħol wieħed

Irriżerva l-indirizz LAN tiegħu barra mill-pool DHCP sabiex ma jiċċaqlaqx wara riavvjar, u tagħtihx rotta default tiegħu stess sakemm ma tkunx trid li jsir triq tal-internet. Il-kompitu tiegħu huwa li jżomm it-tunnel u jwieġeb għall-prefissi mbiegħda. Fuq l-hosts LAN li jridu jaslu għas-sit imbiegħed, ipprova liema triq jużaw issa u liema trid wara l-bidla; l-istess żewġ kmandijiet qabel u wara huma l-orħos prova.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jekk it-tiftixa tirritorna r-router tal-ISP u t-traceroute imut fit-tarf tal-internet, l-host għad m’għandux triq imbiegħda, li hija mistennija. Jekk tirritorna xi ħaġa mhix mistennija, solviha l-ewwel, għax kull pass li jmiss jassumi din il-bażi.

Agħżel min jippossjedi r-rotta tal-prefiss imbiegħed

Għażla A hija r-router tal-ISP: iżomm rotta statika għall-10.60.0.0/24 lejn il-gateway, u kull host isegwi l-gateway default tiegħu bħal qabel. Għażla B hija skont il-host: biss il-magni li għandhom bżonn is-sit imbiegħed jirċievu rotta espliċita permezz tal-10.50.0.2, u kull ħaġa oħra tibqa’ mhux mittiefsa. A hija aktar nadifa għal ħafna hosts, iżda normalment teħtieġ li r-router tal-fornitur jaċċetta rotta statika, li xi wħud ma jagħmlux. B ma teħtieġx kooperazzjoni mill-fornitur iżda tħalli l-manutenzjoni tal-konfigurazzjoni tal-hosts għandek, għalhekk taqbel ma’ sett żgħir ta’ magni approvati.

Fiż-żewġ każijiet id-direzzjoni tar-ritorn trid teżisti. Jekk tweġiba mbiegħda tasal fil-gateway u l-gateway tgħaddiha direttament lil host LAN, it-traffiku jaqbeż l-istat tal-firewall li r-router tal-ISP kien iżomm fit-triq ’l barra. Meta l-gateway mhuwiex ir-router default tal-LAN, dik l-asimetrija hija deċiżjoni tad-disinn, mhux difett li jista’ jiġi injorat.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Agħmel id-dħul permanenti permezz tas-sid tal-konfigurazzjoni tal-host, mhux permezz ta’ skript tad-dħul. Rotta li teżisti biss wara li xi ħadd jidħol se tfalli l-ewwel darba li l-magna terġa’ tinxteħet għal raġuni mhux relatata.

Ipprepara punt tad-dħul aċċessibbli

Il-gateway jeħtieġ indirizz li s-sit imbiegħed jista’ jasal għalih. Wara r-router tal-ISP dan ifisser port forwarding jew dħul DMZ, u t-tnejn jiddependu milli fornitur tassew iwassal it-traffiku. Forwarding lokali ma jegħlibx NAT tal-livell tal-operatur fuq in-naħa tal-fornitur. Jekk il-fornitur ma jagħtix punt aċċessibbli, aqleb id-direzzjoni: ħalli ż-żewġ siti jibdew lejn hub li inti tikkontrolla. Dan huwa disinn validu, iżda jżid it-tielet dipendenza għall-forwarding, il-fiduċja u d-disponibbiltà, u DNS dinamiku ma jissostitwixxihx.

Ikkonferma l-forwarding b’ qabda fuq il-gateway, mhux b’ sit li jiskennja l-ports. L-iskanners jirrappurtaw il-port magħluq sakemm is-smiegħ ikun marbut, u forwarding li qatt ma jwassal traffiku jidher minn barra bħal port magħluq.

Aċċetta s-servizz privat u l-linja tal-vuċi flimkien

Ittestja t-tħaddim maħsub minn host LAN, b’ DNS privat u l-kredenzjali tal-applikazzjoni stess. Tunnel bir-rotta ma jagħmilx il-browsing imbiegħed jidher bħal segment Ethernet lokali, għalhekk l-iskoperta u s-soluzzjoni tal-ismijiet jeħtieġu arranġamenti tagħhom.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Imbagħad ikkonferma li l-aċċess normali għall-internet għadu jaħdem mill-istess host u t-telefonati għadhom reġistrati; dawk iż-żewġ verifiki jaqbdu bidla aċċidentali fir-rotta default, l-aktar mod komuni kif dan il-proġett ikisser xi ħaġa li qatt ma ried imiss. Iffinalizza b’ nota ta’ rkupru bil-miktub: liema apparat iżomm liema rwol, l-indirizzi riżervati, u kif tneħħi r-rotta tal-prefiss imbiegħed f’ pass wieħed. Triq privata li tista’ tiġi rtirata nadifa tiswa aktar minn waħda li taħdem biss illum.

Artikli relatati