Andre ruter som VPN-gateway: hva den ikke løser
En ekstra ruter gir utvalgte enheter en annen utgang. Den fjerner ikke dobbelt NAT, reparerer ikke lokal oppdagelse og vedlikeholder ikke seg selv når tunnelen svikter.
Å sette en ekstra ruter bak hovedruteren er en ren måte å gi noen få enheter en annen utgang. Det er også her folk forventer mer isolasjon enn enheten leverer. Hovednettet beholder sin vanlige vei, og nettet nedstrøms følger den andre ruterens policy. Det som skjer mellom dem, og det som skjer når tunnelen svikter, er den delen som er verdt å planlegge.
Oppsettet fungerer. Mytene handler om hva det beskytter. Det er fortsatt et nyttig design; det er bare ikke en sikkerhetsgrense i seg selv.
Myte: den andre ruteren isolerer tunnelen fullstendig
Enheter bak den andre gatewayen følger dens policy. Enheter på hovednettet arver ikke den tunnelen, og det er poenget. Men den andre ruteren har fortsatt en oppstrøms vei gjennom den første, og den veien er et forhold du må administrere.
Den andre ruteren trenger også en VPN-klientprofil. En funksjon som bare godtar innkommende VPN-tilkoblinger, oppretter ikke en utgående tunnel til en leverandør. Sjekk fastvarens klientstøtte før du kjøper maskinvaren.
Gi nettet nedstrøms et subnett som ikke overlapper. Å kopiere et eksempelområde uten å sjekke eksisterende nett er en pålitelig måte å lage et rute-puslespill.
Myte: dobbelt NAT er bare VPN-ens innkapsling
To rutede gatewayer kan lage dobbelt NAT, og det er atskilt fra VPN-ens egen innkapsling. Vanlig utgående trafikk fungerer vanligvis. Innkommende tjenestetilgang krever et bevisst design, ofte portvideresending på begge enhetene eller en helt annen tilnærming.
Det ekstra oversettelseslaget gjør også loggene vanskeligere å lese. En kildeadresse i hovedruterens logg kan tilhøre den andre ruteren i stedet for enheten du feilsøker. Det er greit å vite før du jager en fantomenhet.
Skriv ned adresseplanen før du slår på noe.
Myte: oppdagelse krysser fordi begge LAN-ene surfer fint
Begge nett kan surfe på internett mens oppdagelse mellom dem feiler. En telefon på hoved-Wi-Fi-en finner kanskje ikke en TV bak VPN-gatewayen, fordi multicast-oppdagelse ikke krysser en rutet grense som standard. Hvis det betyr noe, trenger du en reflektor eller en annen topologi. Vellykket surfing er ikke bevis på lokal oppdagelse.
Hold administrasjonsgrensesnittet til den andre ruteren tilgjengelig fra en autorisert vei uten å publisere det på WAN. Lagre konfigurasjonen til begge gatewayene før du endrer ruter.
Test DNS og IPv6 samt den synlige utgangsadressen. En tunnel som bare frakter IPv4, kan lekke den andre familien. Skriv begge resultatene i endringsloggen.
Hva den andre gatewayen faktisk gir deg
Den gjør omfanget synlig. Du kan peke på én enhet og si hvilket nett som følger tunnelen, og husstanden beholder sin vanlige vei. Den klarheten er den ekstra maskinvaren verdt for mange hjem.
Det er fortsatt en annen enhet som må vedlikeholdes, med påloggingsinformasjon, fastvare og en gjenopprettingsprosess. Bestem om enheter nedstrøms skal stoppe eller falle tilbake når VPN-en svikter, og test den atferden. Gatewayen fjerner ikke det operative arbeidet; den konsentrerer det. Oppskriften for pfSense WireGuard-klienten dekker tunnelsiden på én vanlig plattform.