En ekstra ruter som VPN-gateway: hva den ikke løser
En ekstra ruter gir utvalgte enheter en annen vei ut. Den fjerner ikke dobbelt NAT, fikser ikke lokal oppdagelse og vedlikeholder ikke seg selv etter at tunnelen svikter.
Å plassere en ekstra ruter bak hovedruteren er en ryddig måte å gi noen få enheter en annen vei ut. Det er også der folk forventer mer isolasjon enn enheten gir. Hovednettet beholder sin vanlige vei, og nettet nedenfor følger policyen til den andre ruteren. Det som skjer mellom dem, og det som skjer når tunnelen svikter, er den delen som fortjener planlegging.
Oppsettet virker. Mytene handler om hva det beskytter. Det er fortsatt et nyttig design; det er bare ikke en sikkerhetsgrense alene.
Myte: den andre ruteren isolerer tunnelen helt
Enheter bak den andre gatewayen følger policyen dens. Enheter på hovednettet arver ikke den tunnelen, og det er meningen. Men den andre ruteren har fortsatt en vei oppover gjennom den første, og den veien er et forhold du må håndtere.
Den andre ruteren trenger også en VPN-klientprofil. En funksjon som bare godtar innkommende VPN-tilkoblinger, lager ikke en utgående tunnel til en leverandør. Sjekk fastvarens klientstøtte før du kjøper maskinvaren.
Gi nettet nedenfor et subnett som ikke overlapper. Å kopiere et eksempelområde uten å sjekke eksisterende nett er en pålitelig måte å skape et rute-puslespill.
Myte: dobbelt NAT er bare VPN-ens innkapsling
To rutede gatewayer kan skape dobbelt NAT, og det er atskilt fra VPN-ens egen innkapsling. Vanlig utgående trafikk fungerer som regel. Innkommende tjenestetilgang krever et bevisst design, ofte portvideresending på begge enhetene eller en helt annen tilnærming.
Det ekstra oversettelseslaget gjør også loggene vanskeligere å lese. En kildeadresse i loggen til hovedruteren kan tilhøre den andre ruteren i stedet for enheten du feilsøker. Det er greit å vite før du jakter på en fantomenhet.
Skriv ned adresseplanen før du slår på noe.
Myte: oppdagelse krysser fordi begge LAN-ene surfer fint
Begge nett kan surfe på internett mens oppdagelsen mellom dem feiler. En telefon på hoved-Wi-Fi-en finner kanskje ikke en TV bak VPN-gatewayen, fordi multicast-oppdagelse ikke krysser en rutet grense som standard. Hvis det betyr noe, trenger du en reflektor eller en annen topologi. Vellykket surfing er ikke bevis på lokal oppdagelse.
Hold administrasjonsgrensesnittet til den andre ruteren tilgjengelig fra en autorisert vei uten å publisere det på WAN. Lagre konfigurasjonen til begge gatewayene før du endrer ruter.
Test DNS og IPv6 samt den synlige utgangsadressen. En tunnel som bare frakter IPv4, kan lekke den andre familien. Skriv begge resultatene i endringsloggen.
Hva den andre gatewayen faktisk gir deg
Den gjør omfanget synlig. Du kan peke på én enhet og si hvilket nett som følger tunnelen, og husstanden beholder sin vanlige vei. Den klarheten er den ekstra maskinvaren verdt for mange hjem.
Det er fortsatt en annen enhet som må vedlikeholdes, med påloggingsinformasjon, fastvare og en gjenopprettingsprosess. Bestem om enheter nedenfor skal stoppe eller falle tilbake når VPN-en svikter, og test den atferden. Gatewayen fjerner ikke det operative arbeidet; den konsentrerer det. Oppskriften for pfSense WireGuard-klienten dekker tunnelsiden på én vanlig plattform.