VPN-ruter: LAN og WAN — hva du bør notere før du kjøper
En VPN-etikett sier ingenting om VLAN-er, WAN-failover eller tunnellroller. Skriv ned de nøyaktige egenskapene for modellen og fastvaren du planlegger å ta i bruk.
Behandle et VPN-klart-merke som én egenskap ved en boks som også må rute, segmentere og svitsje ved feil, fordi merket ikke sier noe om hvor mange separate nett enheten kan holde. Begynn med å skrive en egenskapsprotokoll for den nøyaktige modellen og fastvaren, og sammenlign den deretter med flytene nettstedet trenger. Markedssider lister kontakter; de lister sjelden VLAN-medlemskap, failover-policy eller tunnellomfang. Protokollen tar omtrent tjue minutter og avgjør de fleste kjøpsdiskusjoner før maskinvaren ankommer.
Fest den nøyaktige boksen før alt annet
Modellnavn reiser på tvers av fastvaregenerasjoner, og samme kabinett kan leveres med en annen svitsjedriver avhengig av utgivelsen. Les kortidentiteten fra enheten selv i stedet for fra esken, slik at hver senere påstand er knyttet til noe du kan gjenskape. Én kommando dekker modell, kortnavn og fastvareutgivelse på OpenWrt, og de tilsvarende skjermene finnes i de fleste bedriftsfastvaredeler.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseSkriv disse strengene inn i protokollen, aldri forkortet. Skill deretter den vanlige ruteoppgaven fra tunnelloppgaven. En enhet som videresender pakker godt, kan likevel nekte å avslutte en tunnell, og en enhet som avslutter en tunnell, har kanskje ingen måte å holde to lokale nett fra hverandre. Behandles de som ett krav, skjules avviket til enheten allerede er montert i rack, konfigurert og halvt betrodd.
Noter LAN-strukturen, ikke portantallet
Fire kontakter betyr vanligvis én svitsj, og en svitsj betyr ett kringkastingsdomene med mindre VLAN-er er konfigurert. Det er greit for et flatt hjemmenett og feil for et sted som vil ha et gjestesegment, et administrasjonssegment og et isolert kamerasegment på samme boks. Noter hvilke porter som hører til hvilket VLAN, hvilke VLAN-er som når CPU-en, og hvilke grensesnitt som bærer adresser.
Der fastvaren tilbyr VLAN-er, avgjør grensesnittlisten hvor mange ulike policyer du kan skrive. Et VLAN som er definert på svitsjen men aldri tildelt som grensesnitt, har ingen adresse og ingen brannmursone, så det kan ikke håndheve noe alene.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Les svitsjtilstanden i stedet for å stole på menyen. På eldre OpenWrt-mål skriver svitsjverktøyet ut de konfigurerte enhetene, og på DSA-mål rapporterer broverktøyene de samme fakta per port, derfor hører fastvareutgivelsen hjemme i protokollen.
Skriv ned WAN- og failover-atferden
Tilgangsmetode, adresseeierskap og failover-rekkefølge hører på én linje per oppkobling, fordi en tunnell som overlever en WAN-endring avhenger av alle tre. En PPPoE-økt kobler til på nytt med en ny adresse og mister tunnellen med den, mens en DHCP-oppkobling som beholder leasingen kan la det være.
Failover krever også en policybeslutning. Å sende all trafikk til reservekoblingen er enkelt; å holde tunnellen på den primære mens vanlig webtrafikk bruker reserven krever policyrutings, og ikke all fastvare tilbyr det. Noter om tunnellen er bundet til én oppkobling, og hva enheten gjør med etablerte økter når den koblingen forsvinner. Ta vare på rutetabellen som bevis, ikke failover-avkrysningsboksen.
Test én tillatt og én avvist flyt
Protokollen er bare verdt å beholde hvis enheten kan godtas mot den. Velg én flyt som må fungere, én som ikke må, og kjør begge fra en klient på det aktuelle segmentet. En tunnell som bærer hvert subnett, er en feil når kravet var ett subnett.
Bekreft deretter avvisningen, siden en tillatende standard er den vanlige overraskelsen. Gjestesegmentet må ikke nå administrasjonsadressen, og kontrollen bør vise tidsavbrudd eller avvisning i stedet for en innloggingsside.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Hvis den tillatte flyten virker og den avviste flyten også virker, mangler segmenteringen selv om menyene antydet noe annet. Hvis begge feiler, er tunnellomfanget eller returveien feil, og WAN-protokollen forklarer vanligvis hvilken. Ta vare på de to resultatene sammen med egenskapsprotokollen, slik at neste gjennomgang ser hva som ble godtatt, på hvilken fastvare og på hvilken dato.