VPN-rutar: LAN og WAN — kva du bør notere før du kjøper
Ei VPN-etikett seier ingenting om VLAN, WAN-failover eller tunnellrollar. Skriv ned dei nøyaktige eigenskapane for modellen og fastvaren du planlegg å ta i bruk.
Behandle eit VPN-klart-merke som éin eigenskap ved ein boks som òg må rute, segmentere og svitsje ved feil, fordi merket ikkje seier noko om kor mange separate nett eininga kan halde. Byrja med å skrive ein eigenskapssprotokoll for den nøyaktige modellen og fastvaren, og samanlikn han deretter med flyta nettstaden treng. Marknadssider listar kontaktar; dei listar sjeldan VLAN-medlemskap, failover-politikk eller tunnellomfang. Protokollen tek om lag tjue minutt og avgjer dei fleste kjøpsdiskusjonane før maskinvaren kjem.
Fest den nøyaktige boksen før alt anna
Modellnamn reiser på tvers av fastvaregenerasjonar, og same kabinett kan leverast med ein annan svitsjedrivar avhengig av utgivinga. Les kortidentiteten frå eininga sjølv i staden for frå eska, slik at kvar seinare påstand er knytt til noko du kan gjenskape. Éin kommando dekkjer modell, kortnamn og fastvareutgiving på OpenWrt, og dei tilsvarande skjermane finst i dei fleste bedriftsfastvaredelar.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseSkriv desse strengane inn i protokollen, aldri forkorta. Skil deretter den vanlege ruteoppgåva frå tunnelloppgåva. Ei eining som vidaresender pakkar godt, kan likevel nekte å avslutte ein tunnell, og ei eining som avsluttar ein tunnell, har kanskje ingen måte å halde to lokale nett frå kvarandre. Blir dei behandla som eitt krav, blir avviket skjult til eininga alt er montert i rack, konfigurert og halvt tiltrua.
Noter LAN-strukturen, ikkje porttalet
Fire kontaktar tyder vanlegvis éin svitsj, og ein svitsj tyder eitt kringkastingsdomene med mindre VLAN er konfigurerte. Det er greitt for eit flatt heimenett og feil for ein stad som vil ha eit gjestesegment, eit administrasjonssegment og eit isolert kamerasegment på same boks. Noter kva portar som høyrer til kva VLAN, kva VLAN som når CPU-en, og kva grensesnitt som ber adresser.
Der fastvaren tilbyr VLAN, avgjer grensesnittlista kor mange ulike policyar du kan skrive. Eit VLAN som er definert på svitsjen men aldri tildelt som grensesnitt, har inga adresse og inga brannmursone, så det kan ikkje handheve noko åleine.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Les svitsjtilstanden i staden for å stole på menyen. På eldre OpenWrt-mål skriv svitsjverktøyet ut dei konfigurerte einingane, og på DSA-mål rapporterer bruverktøya dei same fakta per port, difor høyrer fastvareutgivinga heime i protokollen.
Skriv ned WAN- og failover-åtferda
Tilgangsmetode, adresseeige og failover-rekkefølgje høyrer på éi linje per oppkopling, fordi ein tunnell som overlever ei WAN-endring avheng av alle tre. Ei PPPoE-økt koplar til på nytt med ei ny adresse og mistar tunnellen med henne, medan ei DHCP-oppkopling som held på leasinga kan la det vere.
Failover krev òg ei policyavgjerd. Å sende all trafikk til reservekoplinga er enkelt; å halde tunnellen på den primære medan vanleg webtrafikk brukar reserven krev policyrutings, og ikkje all fastvare tilbyr det. Noter om tunnellen er bunden til éi oppkopling, og kva eininga gjer med etablerte økter når den koplinga forsvinn. Ta vare på rutetabellen som bevis, ikkje failover-avkrysningsboksen.
Test éi tillaten og éi avvist flyt
Protokollen er berre verdt å halde om eininga kan godtakast mot han. Vel éi flyt som må fungere, éi som ikkje må, og køyr begge frå ein klient på det aktuelle segmentet. Ein tunnell som ber kvart subnett, er ein feil når kravet var eitt subnett.
Stadfest deretter avvisinga, sidan ein tillatande standard er den vanlege overraskinga. Gjestesegmentet må ikkje nå administrasjonsadressa, og kontrollen bør vise tidsavbrot eller avvising i staden for ei innloggingsside.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Om den tillatne flyta verkar og den avviste flyta òg verkar, manglar segmenteringa sjølv om menyane antyda noko anna. Om begge feilar, er tunnellomfanget eller returvegen feil, og WAN-protokollen forklarer vanlegvis kva. Ta vare på dei to resultata saman med eigenskapssprotokollen, slik at neste gjennomgang ser kva som vart godteke, på kva fastvare og på kva dato.