VPN-router: LAN en WAN — wat u vóór de aankoop moet vastleggen

Behandel een VPN-klaar-label als één eigenschap van een apparaat dat ook moet routeren, segmenteren en bij storing moet omschakelen, want het label zegt niets over hoeveel afzonderlijke netwerken het apparaat kan huisvesten. Begin met het schrijven van een mogelijkhedenregister voor het exacte model en de firmware en vergelijk dat register daarna met de stromen die de locatie nodig heeft. Marketingpagina's noemen aansluitingen; ze noemen zelden VLAN-lidmaatschap, failoverbeleid of tunnelbereik. Het register kost ongeveer twintig minuten en beslecht de meeste aankoopdiscussies voordat de hardware arriveert.

Leg het exacte apparaat vóór alles vast

Modelnamen reizen over firmwaregeneraties en dezelfde behuizing kan afhankelijk van de release met een andere switchdriver worden geleverd. Lees de bordidentiteit van het apparaat zelf in plaats van van de doos, zodat elke latere bewering vastzit aan iets dat u kunt reproduceren. Eén opdracht dekt model, bordnaam en firmwarerelease op OpenWrt, en de gelijkwaardige schermen bestaan in de meeste bedrijfsfirmware.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Schrijf die tekenreeksen in het register, nooit verkort. Scheid daarna de gewone routingtaak van de tunneltaak. Een apparaat dat pakketten goed doorstuurt, kan nog steeds weigeren een tunnel te beëindigen, en een apparaat dat een tunnel beëindigt, heeft misschien geen manier om twee lokale netwerken gescheiden te houden. Als u beide als één eis behandelt, verbergt de mismatch zich tot het apparaat al in het rack is gemonteerd, geconfigureerd en half vertrouwd.

Noteer de LAN-structuur, niet het poortaantal

Vier aansluitingen betekenen meestal één switch, en een switch betekent één broadcastdomein tenzij VLAN's zijn geconfigureerd. Dat is prima voor een plat thuisnetwerk en verkeerd voor een locatie die een gastsegment, een beheersegment en een geïsoleerd camerasegment op hetzelfde apparaat wil. Noteer welke poorten bij welke VLAN horen, welke VLAN's de CPU bereiken en welke interfaces adressen dragen.

Waar de firmware VLAN's biedt, bepaalt de interfacelijst hoeveel afzonderlijke beleidsregels u kunt schrijven. Een VLAN dat op de switch is gedefinieerd maar nooit als interface is toegewezen, heeft geen adres en geen firewallzone, dus het kan zelf niets afdwingen.

Lees de switchstatus in plaats van het menu te vertrouwen. Op oudere OpenWrt-doelen drukt de switchtool de geconfigureerde apparaten af, en op DSA-doelen rapporteren de brugtools dezelfde feiten per poort, daarom hoort de firmwarerelease in het register.

Noteer het gedrag van WAN en failover

Toegangsmethode, adreseigendom en failovervolgorde horen op één regel per uplink, omdat een tunnel die een WAN-wijziging overleeft van alle drie afhangt. Een PPPoE-sessie maakt opnieuw verbinding met een nieuw adres en laat de tunnel daarmee vallen, terwijl een DHCP-uplink die zijn lease behoudt dat misschien niet doet.

Failover vraagt ook om een beleidsbeslissing. Al het verkeer naar de back-uplink sturen is eenvoudig; de tunnel op de primaire houden terwijl gewoon webverkeer de back-up gebruikt, vereist beleidsroutering, en niet elke firmware biedt dat. Noteer of de tunnel aan één uplink is gebonden en wat het apparaat doet met bestaande sessies wanneer die uplink verdwijnt. Bewaar de routingtabel als bewijs, niet het failover-vakje.

Test één toegestane en één geweigerde stroom

Het register is alleen de moeite waard als het apparaat ertegen kan worden geaccepteerd. Kies één stroom die moet werken, één die niet mag, en voer beide uit vanaf een client op het betreffende segment. Een tunnel die elk subnet draagt, is een fout wanneer de eis één subnet was.

Bevestig daarna de weigering, want een toestemmende standaard is de gebruikelijke verrassing. Het gastsegment mag het beheeradres niet bereiken, en de controle hoort een time-out of weigering te tonen in plaats van een inlogpagina.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Als de toegestane stroom werkt en de geweigerde stroom ook, ontbreekt de segmentering ook al suggereerden the menu's anders. Als beide mislukken, zijn het tunnelbereik of het retourpad verkeerd, en het WAN-register verklaart meestal welke. Bewaar de twee resultaten bij het mogelijkhedenregister, zodat de volgende beoordelaar ziet wat is geaccepteerd, op welke firmware en op welke datum.