ISP राउटरको छेउमा कल नतोडी साइट VPN थप्नुहोस्

धेरैजसो साना साइटसँग इन्टरनेट, DHCP र भ्वाइस लाइन गर्ने एउटा यन्त्र पहिले नै हुन्छ, र त्यो यन्त्रले तपाईंको साइटको टनेल चलाउँदैन। निजी मार्गका लागि दोस्रो गेटवे थप्नु काम गर्छ, यदि केबल छुनु अघि कुन मार्ग कसको हो भनेर टुंग्याउनुहुन्छ। वास्तविक जोखिम टनेल होइन; फोनहरू दर्ता राख्ने यन्त्र चुपचाप बदल्नु हो। पाँच जाँच क्रममा गर्नुहोस् र एउटा असफल हुने ठाउँमा रोक्नुहोस्।

पहिले नै काम गरिरहेका भूमिकाहरू लेख्नुहोस्

पूर्वनिर्धारित गेटवे, DHCP सर्भर, रिजोल्भर र प्रदायकको भ्वाइस दर्ता भएको यन्त्र अभिलेख गर्नुहोस्। यो उदाहरणमा ISP राउटर 10.50.0.1 हो, नयाँ गेटवे 10.50.0.2 मा हुनेछ र टाढाको साइट 10.60.0.0/24 हो। त्यो योजनामा कुनै पनि कुराले पहिलो तीन भूमिका बदल्दैन, र मुख्य कुरा त्यही हो। त्यसपछि दोस्रो यन्त्रले टनेल साँच्चै अन्त्य गर्न सक्छ भनी पुष्टि गर्नुहोस्: प्रोटोकल, अपेक्षित थ्रुपुट र फर्मवेयर वा प्याकेज अद्यावधिक पाउँछ कि पाउँदैन हेर्नुहोस्। VPN लोगो भएको तर अद्यावधिक मार्ग नभएको यन्त्र थप होइन, भार हो।

भ्वाइस सेवा कसको हो भन्न सक्नुहुन्न भने रोक्नुहोस्। दर्ता भएको राउटरलाई फर्काउने योजना बिना बदल्नु VPN परियोजनालाई फोन अवरोध बनाउँछ।

नयाँ गेटवेलाई एउटा ठेगाना र एउटा काम दिनुहोस्

यसको LAN ठेगाना DHCP पोखरी बाहिर आरक्षित राख्नुहोस् ताकि रिबुट पछि सर्दैन, र इन्टरनेट मार्ग बनाउन नचाहेसम्म यसलाई आफ्नै पूर्वनिर्धारित मार्ग नदिनुहोस्। यसको काम टनेल राख्नु र टाढाका प्रिफिक्सका लागि जवाफ दिनु हो। टाढाको साइटमा पुग्नुपर्ने LAN होस्टहरूमा तिनीहरूले अहिले कुन मार्ग लिन्छन् र परिवर्तनपछि कुन चाहनुहुन्छ प्रमाणित गर्नुहोस्; तीहरू दुई आदेश अघि र पछि चलाउनु सबैभन्दा सस्तो प्रमाण हो।

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

खोजले ISP राउटर फर्काउँछ र traceroute इन्टरनेटको किनारमा मर्छ भने होस्टसँग अझै टाढाको मार्ग छैन, जुन अपेक्षित हो। अप्रत्याशित केही फर्कियो भने पहिले त्यसैलाई समाधान गर्नुहोस्, किनकि हरेक अर्को कदम यही आधार मान्छ।

टाढाको प्रिफिक्स मार्ग कसको हो छान्नुहोस्

विकल्प A ISP राउटर हो: यसले 10.60.0.0/24 का लागि गेटवेतिर स्थिर मार्ग राख्छ र हरेक होस्टले पहिलेझैं आफ्नै पूर्वनिर्धारित गेटवे पछ्याउँछ। विकल्प B प्रति होस्ट हो: टाढाको साइट चाहिने मेसिनले मात्र 10.50.0.2 हुँदै स्पष्ट मार्ग पाउँछन् र बाँकी सबै अछुत रहन्छ। A धेरै होस्टका लागि सफा छ, तर सामान्यतया प्रदायकको राउटरले स्थिर मार्ग स्वीकार्नुपर्छ, जो कतिले गर्दैनन्। B लाई प्रदायकको सहयोग चाहिँदैन तर होस्ट कन्फिगरेसनको मर्मत तपाईंकहाँ राख्छ, त्यसैले सानो स्वीकृत मेसिन समूहका लागि उपयुक्त छ।

दुवै अवस्थामा फर्कने दिशा हुनुपर्छ। टाढाको जवाफ गेटवेमा आयो र गेटवेले त्यसलाई सिधै LAN होस्टमा पठायो भने, ट्राफिकले ISP राउटरले जाने बाटोमा राखेको फायरवाल अवस्था छोड्छ। गेटवे LAN को पूर्वनिर्धारित राउटर होइन भने, त्यो असमानता डिजाइन निर्णय हो, बेवास्ता गर्न मिल्ने गल्ती होइन।

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

प्रविष्टि होस्टको कन्फिगरेसन मालिकमार्फत स्थायी बनाउनुहोस्, लगइन स्क्रिप्टमार्फत होइन। कसैले लगइन गरेपछि मात्र हुने मार्ग, मेसिन असम्बन्धित कारणले रिबुट हुँदा पहिलो पटक असफल हुन्छ।

पुग्न सकिने इनबाउन्ड बिन्दु तयार गर्नुहोस्

गेटवेलाई टाढाको साइटले पुग्न सक्ने ठेगाना चाहिन्छ। ISP राउटरको पछाडि यसको अर्थ पोर्ट फर्वार्डिङ वा DMZ प्रविष्टि हो, र दुवै प्रदायकले ट्राफिक साँच्चै पुर्‍याउँछ कि भन्नेमा निर्भर छन्। स्थानीय फर्वार्डिङले प्रदायकतर्फको क्यारियर-ग्रेड NAT लाई जित्न सक्दैन। प्रदायकले पुग्न सकिने बिन्दु दिएन भने दिशा उल्टाउनुहोस्: दुवै साइटले तपाईंले नियन्त्रण गर्ने हबतिर सुरु गरून्। यो वैध डिजाइन हो, तर फर्वार्डिङ, विश्वास र उपलब्धताका लागि तेस्रो निर्भरता थप्छ, र डाइनामिक DNS ले त्यसको विकल्प दिँदैन।

फर्वार्डिङ गेटवेमा क्याप्चर गरेर पुष्टि गर्नुहोस्, पोर्ट स्क्यान गर्ने वेबसाइटले होइन। स्क्यानरले सुन्ने बाँध्यो नभएसम्म पोर्ट बन्द भएको बताउँछन्, र कहिल्यै ट्राफिक नपुर्‍याउने फर्वार्डिङ बाहिरबाट बन्द पोर्टजस्तै देखिन्छ।

निजी सेवा र भ्वाइस लाइन सँगै स्वीकार्नुहोस्

LAN होस्टबाट अभिप्रेत सञ्चालन परीक्षण गर्नुहोस्, निजी DNS र एप्लिकेसनका आफ्नै प्रमाणहरूसँग। राउट गरिएको टनेलले टाढाको ब्राउजिङलाई स्थानीय इथरनेट खण्डजस्तो बनाउँदैन, त्यसैले पत्ता लगाउने र नाम समाधानका लागि छुट्टै व्यवस्था चाहिन्छ।

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

त्यसपछि उही होस्टबाट सामान्य इन्टरनेट पहुँच अझै चल्छ र फोनहरू अझै दर्ता छन् भनी पुष्टि गर्नुहोस्; ती दुई जाँचले पूर्वनिर्धारित मार्गको दुर्घटनावश परिवर्तन समात्छन्, जो यो परियोजनाले कहिल्यै छुन नचाहेको कुरा बिगार्ने सबैभन्दा सामान्य तरिका हो। लिखित पुनर्प्राप्ति टिप्पणीसँग अन्त्य गर्नुहोस्: कुन यन्त्रले कुन भूमिका राख्छ, आरक्षित ठेगानाहरू, र टाढाको प्रिफिक्स मार्ग एकै चरणमा कसरी हटाउने। सफा रूपमा फिर्ता लिन सकिने निजी मार्ग आज मात्र चल्नेभन्दा बढी मूल्यवान् छ।