Voeg een site-VPN naast de ISP-router toe zonder gesprekken te onderbreken

De meeste kleine locaties hebben al één doos die internet, DHCP en de spraaklijn doet, en die doos gaat uw locatietunnel niet draaien. Een tweede gateway voor het privépad toevoegen werkt, mits u vóór het aanraken van een kabel bepaalt wie welke route bezit. Het echte risico is niet de tunnel, maar het stilzwijgend vervangen van het apparaat dat de telefoons geregistreerd houdt. Werk de vijf controles op volgorde af en stop waar er één faalt.

Noteer de rollen die al werken

Leg de standaardgateway, de DHCP-server, de resolver en het apparaat met de spraakregistratie van de provider vast. In dit voorbeeld is de ISP-router 10.50.0.1, komt de nieuwe gateway op 10.50.0.2 en is de externe locatie 10.60.0.0/24. Niets in dat plan verandert de eerste drie rollen, en dat is precies het punt. Controleer daarna of de tweede doos de tunnel echt kan beëindigen: kijk naar het protocol, de verwachte doorvoer en of hij firmware- of pakketupdates krijgt. Een apparaat met een VPN-logo en zonder updateroute is een last, geen aanvulling.

Als u niet kunt zeggen wie de spraakdienst bezit, stop. De router met een registratie vervangen zonder terugdraaiplan maakt van een VPN-project een telefoonstoring.

Geef de nieuwe gateway één adres en één taak

Reserveer het LAN-adres buiten de DHCP-pool zodat het na een herstart niet verschuift, en geef het geen eigen standaardroute tenzij u wilt dat het een internetpad wordt. De taak is de tunnel vasthouden en antwoorden voor externe prefixen. Op de LAN-hosts die de externe locatie moeten bereiken, bewijst u welke route ze nu nemen en welke u daarna wilt; dezelfde twee commando’s voor en na zijn het goedkoopste bewijs.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Als de opzoeking de ISP-router teruggeeft en de traceroute sterft aan de internetrand, heeft de host nog geen externe route, wat te verwachten is. Komt er iets onverwachts terug, los dat dan eerst op, want elke volgende stap gaat van deze basis uit.

Kies wie de route van het externe prefix bezit

Optie A is de ISP-router: die houdt een statische route voor 10.60.0.0/24 naar de gateway, en elke host volgt zoals voorheen zijn standaardgateway. Optie B is per host: alleen machines die de externe locatie nodig hebben krijgen een expliciete route via 10.50.0.2, en al het andere blijft onaangeroerd. A is schoner bij veel hosts, maar vereist meestal dat de router van de provider een statische route accepteert, wat sommige niet doen. B vraagt geen medewerking van de provider, maar laat het onderhoud van de hostconfiguratie bij u, dus het past bij een kleine goedgekeurde set machines.

In beide gevallen moet de retourrichting bestaan. Als een extern antwoord bij de gateway aankomt en de gateway het rechtstreeks naar een LAN-host doorstuurt, slaat het verkeer de firewallstatus over die de ISP-router op de heenweg bijhield. Als de gateway niet de standaardrouter van het LAN is, is die asymmetrie een ontwerpbeslissing, geen fout die u kunt negeren.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Maak de vermelding permanent via de configuratie-eigenaar van de host, niet via een aanmeldscript. Een route die pas bestaat nadat iemand inlogt, faalt de eerste keer dat de machine om een niet-verwante reden herstart.

Zorg voor een bereikbaar inkomend eindpunt

De gateway heeft een adres nodig dat de externe locatie kan bereiken. Achter de ISP-router betekent dat port forwarding of een DMZ-vermelding, en beide hangen ervan af of de provider het verkeer echt levert. Lokale forwarding overwint geen carrier-grade NAT aan de kant van de provider. Geeft de provider geen bereikbaar punt, draai de richting dan om: laat beide locaties initiatief nemen naar een hub die u beheert. Dat is een geldig ontwerp, maar het voegt een derde afhankelijkheid toe voor forwarding, vertrouwen en beschikbaarheid, en dynamische DNS vervangt dat niet.

Bevestig de forwarding met een capture op de gateway, niet met een website die poorten scant. Scanners melden de poort gesloten tot de listener gebonden is, en forwarding die nooit verkeer levert ziet er van buiten hetzelfde uit als een gesloten poort.

Accepteer de privédienst en de spraaklijn samen

Test de bedoelde werking vanaf een LAN-host, met privé-DNS en de eigen inloggegevens van de applicatie. Een gerouteerde tunnel laat extern browsen niet op een lokaal Ethernet-segment lijken, dus ontdekking en naamresolutie vragen eigen regelingen.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Bevestig daarna dat gewone internettoegang vanaf dezelfde host nog werkt en dat de telefoons nog geregistreerd zijn; die twee controles vangen een per ongeluk gewijzigde standaardroute, de meest voorkomende manier waarop dit project iets breekt dat het nooit wilde aanraken. Sluit af met een schriftelijke herstelnotitie: welk apparaat welke rol heeft, de gereserveerde adressen en hoe u de route van het externe prefix in één stap verwijdert. Een privépad dat schoon kan worden ingetrokken is meer waard dan een dat alleen vandaag werkt.