Dodaj VPN oddziału obok routera ISP bez przerywania połączeń

Zachowaj rolę internetową i głosową routera ISP, a drugą bramę zostaw do obsługi ścieżki prywatnej. Wykonaj te pięć kontroli, zanim zmienisz jakąkolwiek trasę.

Większość małych oddziałów ma już jedno urządzenie, które robi internet, DHCP i linię głosową, i to urządzenie nie będzie prowadzić tunelu oddziału. Dodanie drugiej bramy dla ścieżki prywatnej działa, jeśli przed dotknięciem kabla ustalisz, kto jest właścicielem każdej trasy. Prawdziwym ryzykiem nie jest tunel, lecz cicha wymiana urządzenia, które utrzymuje telefony w rejestrze. Wykonaj pięć kontroli po kolei i zatrzymaj się tam, gdzie jedna zawiedzie.

Zapisz role, które już działają

Zanotuj bramę domyślną, serwer DHCP, resolver i urządzenie, na którym jest rejestracja głosowa operatora. W tym przykładzie router ISP to 10.50.0.1, nowa brama będzie na 10.50.0.2, a oddział zdalny to 10.60.0.0/24. Nic w tym planie nie zmienia pierwszych trzech ról i właśnie o to chodzi. Potem potwierdź, że drugie urządzenie naprawdę potrafi zakończyć tunel: sprawdź protokół, oczekiwaną przepustowość i czy dostaje aktualizacje firmware lub pakietów. Urządzenie z logo VPN i bez drogi aktualizacji jest obciążeniem, nie dodatkiem.

Jeśli nie potrafisz powiedzieć, do kogo należy usługa głosowa, zatrzymaj się. Wymiana routera z rejestracją bez planu wycofania zamienia projekt VPN w awarię telefonów.

Daj nowej bramie jeden adres i jedno zadanie

Zarezerwuj jej adres LAN poza pulą DHCP, żeby nie przesunął się po restarcie, i nie dawaj jej własnej trasy domyślnej, chyba że ma stać się ścieżką do internetu. Jej zadaniem jest trzymanie tunelu i odpowiadanie za prefiksy zdalne. Na hostach LAN, które muszą dotrzeć do oddziału, udowodnij, którą trasą idą teraz i którą chcesz po zmianie; te same dwa polecenia przed i po to najtańszy dowód.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Jeśli wyszukiwanie zwraca router ISP, a traceroute umiera na krawędzi internetu, host nie ma jeszcze trasy zdalnej, co jest oczekiwane. Jeśli zwraca coś nieoczekiwanego, rozwiąż to najpierw, bo każdy kolejny krok zakłada tę bazę.

Wybierz, kto jest właścicielem trasy prefiksu zdalnego

Opcja A to router ISP: trzyma trasę statyczną dla 10.60.0.0/24 do bramy, a każdy host idzie jak wcześniej przez swoją bramę domyślną. Opcja B jest per host: tylko maszyny potrzebujące oddziału dostają jawną trasę przez 10.50.0.2, a wszystko inne zostaje nietknięte. A jest czystsza przy wielu hostach, ale zwykle wymaga, by router operatora przyjął trasę statyczną, czego niektóre nie robią. B nie wymaga współpracy operatora, ale zostawia utrzymanie konfiguracji hostów, więc pasuje do małego zatwierdzonego zestawu maszyn.

W obu przypadkach musi istnieć kierunek powrotny. Jeśli odpowiedź zdalna trafia do bramy, a brama przekazuje ją wprost do hosta LAN, ruch omija stan zapory, który router ISP trzymał na drodze wychodzącej. Gdy brama nie jest domyślnym routerem LAN, ta asymetria jest decyzją projektową, nie błędem do zignorowania.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Utrwal wpis przez właściciela konfiguracji hosta, nie przez skrypt logowania. Trasa, która istnieje tylko po zalogowaniu, zawiedzie za pierwszym razem, gdy maszyna zrestartuje się z niepowiązanego powodu.

Zapewnij osiągalny punkt wejściowy

Brama potrzebuje adresu, do którego dotrze oddział zdalny. Za routerem ISP oznacza to przekierowanie portu lub wpis DMZ, a oba zależą od tego, czy operator naprawdę dostarcza ruch. Lokalne przekierowanie nie pokona NAT klasy operatorskiej po stronie dostawcy. Jeśli operator nie daje osiągalnego punktu, odwróć kierunek: pozwól obu stronom inicjować połączenie do koncentratora, który kontrolujesz. To poprawny projekt, ale dodaje trzecią zależność dla przekazywania, zaufania i dostępności, a dynamiczny DNS tego nie zastąpi.

Potwierdź przekierowanie przechwyceniem na bramie, nie stroną skanującą porty. Skanery podają port jako zamknięty, dopóki nasłuch nie zostanie przypisany, a przekierowanie, które nigdy nie dostarcza ruchu, wygląda z zewnątrz jak zamknięty port.

Przyjmij usługę prywatną i linię głosową razem

Przetestuj zamierzone działanie z hosta LAN, z prywatnym DNS i własnymi poświadczeniami aplikacji. Trasa przez tunel nie sprawia, że zdalne przeglądanie wygląda jak lokalny segment Ethernet, więc odkrywanie i rozwiązywanie nazw wymagają własnych ustaleń.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Potem potwierdź, że zwykły dostęp do internetu z tego samego hosta nadal działa i telefony są nadal zarejestrowane; te dwie kontrole łapią przypadkową zmianę trasy domyślnej, najczęstszy sposób, w jaki ten projekt psuje coś, czego wcale nie chciał dotknąć. Zakończ pisemną notatką odtworzeniową: które urządzenie pełni którą rolę, zarezerwowane adresy i jak usunąć trasę prefiksu zdalnego jednym krokiem. Prywatna ścieżka, którą można czysto wycofać, jest warta więcej niż ta, która działa tylko dziś.

Powiązane artykuły