Drugi router jako brama VPN: czego nie rozwiązuje
Drugi router daje wybranym urządzeniom inne wyjście. Nie usuwa podwójnego NAT, nie naprawia lokalnego wykrywania i nie utrzymuje się sam po awarii tunelu.
Umieszczenie drugiego routera za głównym to czysty sposób, by dać kilku urządzeniom inne wyjście. To także miejsce, w którym ludzie oczekują większej izolacji, niż daje urządzenie. Główna sieć zachowuje swoją zwykłą ścieżkę, a sieć poniżej podąża za polityką drugiego routera. To, co dzieje się między nimi, i to, co dzieje się, gdy tunel zawiedzie, to część, którą warto zaplanować.
Konfiguracja działa. Mity dotyczą tego, przed czym chroni. To nadal użyteczny projekt; po prostu sam w sobie nie jest granicą bezpieczeństwa.
Mit: drugi router całkowicie izoluje tunel
Urządzenia za drugą bramą podążają za jej polityką. Urządzenia w głównej sieci nie dziedziczą tego tunelu i o to chodzi. Ale drugi router nadal ma ścieżkę w górę przez pierwszy, a ta ścieżka to relacja, którą musisz zarządzać.
Drugi router potrzebuje też profilu klienta VPN. Funkcja, która przyjmuje tylko przychodzące połączenia VPN, nie tworzy tunelu wychodzącego do dostawcy. Sprawdź obsługę klienta w firmware, zanim kupisz sprzęt.
Daj sieci poniżej podsieć, która się nie nakłada. Kopiowanie przykładowego zakresu bez sprawdzenia istniejących sieci to pewny sposób na stworzenie łamigłówki routingu.
Mit: podwójny NAT to tylko enkapsulacja VPN
Dwie routowane bramy mogą stworzyć podwójny NAT, a to jest oddzielne od własnej enkapsulacji VPN. Zwykły ruch wychodzący zwykle działa. Dostęp do usług przychodzących wymaga świadomego projektu, często przekierowania portu na obu urządzeniach lub zupełnie innego podejścia.
Dodatkowa warstwa tłumaczenia utrudnia też czytanie logów. Adres źródłowy w logu głównego routera może należeć do drugiego routera, a nie do urządzenia, które debugujesz. Warto to wiedzieć, zanim zaczniesz ścigać urządzenie-widmo.
Zapisz plan adresacji, zanim cokolwiek włączysz.
Mit: wykrywanie przechodzi, bo obie sieci LAN dobrze przeglądają
Obie sieci mogą przeglądać internet, podczas gdy wykrywanie między nimi zawodzi. Telefon w głównej sieci Wi-Fi może nie znaleźć telewizora za bramą VPN, ponieważ wykrywanie multicast domyślnie nie przekracza routowanej granicy. Jeśli to ma znaczenie, potrzebujesz reflektora lub innej topologii. Sukces w przeglądaniu nie jest dowodem lokalnego wykrywania.
Utrzymuj interfejs zarządzania drugiego routera dostępny z autoryzowanej ścieżki, nie publikując go w WAN. Zapisz konfigurację obu bram, zanim zmienisz trasy.
Przetestuj DNS i IPv6 oraz widoczny adres wyjścia. Tunel, który przenosi tylko IPv4, może wyciec drugą rodzinę. Zapisz oba wyniki w rejestrze zmian.
Co druga brama naprawdę ci daje
Czyni zasięg widocznym. Możesz wskazać jedno urządzenie i powiedzieć, która sieć podąża za tunelem, a gospodarstwo zachowuje swoją zwykłą ścieżkę. Ta jasność jest warta dodatkowego sprzętu w wielu domach.
To wciąż kolejne urządzenie do utrzymania, z poświadczeniami, firmware i procesem odzyskiwania. Zdecyduj, czy urządzenia poniżej mają się zatrzymać czy wrócić, gdy VPN zawiedzie, i przetestuj to zachowanie. Brama nie usuwa pracy operacyjnej; koncentruje ją. Przepis na klienta pfSense WireGuard obejmuje stronę tunelu na jednej popularnej platformie.