Andre ruter som VPN-gateway: kva han ikkje løyser

Å setje ein ekstra ruter bak hovudruteren er ein rein måte å gje nokre få einingar ein annan utgang. Det er òg her folk ventar meir isolasjon enn eininga leverer. Hovudnettet held på den vanlege vegen sin, og nettet nedstraums følgjer politikken til den andre ruteren. Det som skjer mellom dei, og det som skjer når tunnelen sviktar, er den delen som er verdt å planleggje.

Oppsettet fungerer. Myta handlar om kva det vernar. Det er framleis eit nyttig design; det er berre ikkje ei sikkerheitsgrense i seg sjølv.

Myte: den andre ruteren isolerer tunnelen fullstendig

Einingar bak den andre gatewayen følgjer politikken hans. Einingar på hovudnettet arvar ikkje den tunnelen, og det er poenget. Men den andre ruteren har framleis ein oppstraums veg gjennom den første, og den vegen er eit forhold du må styre.

Den andre ruteren treng òg ein VPN-klientprofil. Ein funksjon som berre godtek innkommande VPN-tilkoplingar, opprettar ikkje ein utgåande tunnel til ein leverandør. Sjekk klientstøtta til fastvaren før du kjøper maskinvara.

Gje nettet nedstraums eit subnett som ikkje overlappar. Å kopiere eit dømeområde utan å sjekke eksisterande nett er ein påliteleg måte å lage eit rute-puslespel på.

Myte: dobbelt NAT er berre innkapslinga til VPN-en

To ruta gatewayar kan lage dobbelt NAT, og det er skilt frå den eigne innkapslinga til VPN-en. Vanleg utgåande trafikk fungerer oftast. Innkommande tenestetilgang krev eit medvite design, ofte portvideresending på begge einingane eller ein heilt annan tilnærming.

Det ekstra omsetjingslaget gjer òg loggane vanskelegare å lese. Ei kjeldeadresse i loggen til hovudruteren kan høyre til den andre ruteren i staden for eininga du feilsøkjer. Det er greitt å vite før du jaktar på ei fantomeining.

Skriv ned adresseplanen før du slår på noko.

Myte: oppdaging kryssar fordi begge LAN-a surfar fint

Begge nett kan surfe på internett medan oppdaging mellom dei feilar. Ein telefon på hovud-Wi-Fi-en finn kanskje ikkje ein TV bak VPN-gatewayen, fordi multicast-oppdaging ikkje kryssar ei ruta grense som standard. Viss det er viktig, treng du ein reflektor eller ein annan topologi. Vellukka surfing er ikkje prov på lokal oppdaging.

Hald administrasjonsgrensesnittet til den andre ruteren tilgjengeleg frå ein autorisert veg utan å publisere det på WAN. Lagre konfigurasjonen til begge gatewayane før du endrar ruter.

Test DNS og IPv6 samt den synlege utgangsadressa. Ein tunnel som berre fraktar IPv4, kan leke den andre familien. Skriv begge resultata i endringsloggen.

Kva den andre gatewayen faktisk gjev deg

Det gjer omfanget synleg. Du kan peike på éi eining og seie kva nett som følgjer tunnelen, og husstanden held på den vanlege vegen sin. Den klarleiken er den ekstra maskinvara verdt for mange heimar.

Det er framleis ei anna eining som må vedlikehaldast, med påloggingsinformasjon, fastvare og ein gjenopprettingsprosess. Avgjer om einingar nedstraums skal stoppe eller falle tilbake når VPN-en sviktar, og test den åtferda. Gatewayen fjernar ikkje det operative arbeidet; han konsentrerer det. Oppskrifta for pfSense WireGuard-klienten dekkjer tunnelsida på éin vanleg plattform.