Router VPN: LAN i WAN — co zapisać przed zakupem
Etykieta VPN nie mówi nic o VLAN-ach, przełączaniu awaryjnym WAN ani rolach tuneli. Zapisz dokładne możliwości modelu i firmware'u, który zamierzasz wdrożyć.
Traktuj etykietę gotowości do VPN jako jedną cechę urządzenia, które musi także rutować, segmentować i przełączać się przy awarii, bo etykieta nie mówi nic o tym, ile oddzielnych sieci urządzenie może utrzymać. Zacznij od zapisania rejestru możliwości dla dokładnego modelu i firmware'u, a potem porównaj ten rejestr z przepływami, których potrzebuje obiekt. Strony marketingowe wymieniają gniazda; rzadko wymieniają przynależność do VLAN, politykę przełączania awaryjnego czy zasięg tunelu. Rejestr zajmuje około dwudziestu minut i rozstrzyga większość sporów zakupowych przed przybyciem sprzętu.
Przed wszystkim ustal dokładne urządzenie
Nazwy modeli wędrują przez generacje firmware'u, a ta sama obudowa może być dostarczana z innym sterownikiem przełącznika w zależności od wydania. Czytaj tożsamość płytki z samego urządzenia, a nie z kartonu, aby każde późniejsze twierdzenie było związane z czymś, co możesz odtworzyć. Jedno polecenie obejmuje model, nazwę płytki i wydanie firmware'u w OpenWrt, a równoważne ekrany istnieją w większości firmware'ów biznesowych.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseZapisz te ciągi w rejestrze, nigdy skrócone. Następnie oddziel zwykłe zadanie rutowania od zadania tunelu. Urządzenie, które dobrze przekazuje pakiety, może nadal odmówić zakończenia tunelu, a urządzenie kończące tunel może nie mieć sposobu, by utrzymać dwie sieci lokalne osobno. Traktowanie obu jako jednego wymagania ukrywa niezgodność, dopóki jednostka nie jest już zamontowana w szafie, skonfigurowana i na wpół zaufana.
Zapisz strukturę LAN, nie liczbę portów
Cztery gniazda zwykle oznaczają jeden przełącznik, a przełącznik oznacza jedną domenę rozgłoszeniową, chyba że skonfigurowano VLAN. To jest w porządku dla płaskiej sieci domowej i błędne dla obiektu, który chce segmentu gości, segmentu zarządzania i odizolowanego segmentu kamer na tym samym urządzeniu. Zapisz, które porty należą do którego VLAN, które VLAN docierają do procesora i które interfejsy noszą adresy.
Tam, gdzie firmware oferuje VLAN, lista interfejsów decyduje, ile odrębnych polityk możesz napisać. VLAN zdefiniowany na przełączniku, ale nigdy nieprzypisany jako interfejs, nie ma adresu ani strefy zapory, więc sam nie może niczego wymusić.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Czytaj stan przełącznika, zamiast ufać menu. W starszych celach OpenWrt narzędzie przełącznika wypisuje skonfigurowane urządzenia, a w celach DSA narzędzia mostka raportują te same fakty dla każdego portu, dlatego wydanie firmware'u należy do rejestru.
Zapisz zachowanie WAN i przełączania awaryjnego
Metoda dostępu, własność adresu i kolejność przełączania awaryjnego należą do jednej linii na łącze nadrzędne, bo tunel, który przetrwa zmianę WAN, zależy od wszystkich trzech. Sesja PPPoE łączy się ponownie z nowym adresem i przewraca tunel razem z nim, podczas gdy łącze DHCP zachowujące dzierżawę może tego nie robić.
Przełączanie awaryjne wymaga też decyzji polityki. Wysyłanie całego ruchu na łącze zapasowe jest łatwe; utrzymanie tunelu na łączu głównym, gdy zwykły ruch internetowy korzysta z zapasowego, wymaga rutowania politycznego, a nie każdy firmware je udostępnia. Odnotuj, czy tunel jest przypisany do jednego łącza nadrzędnego i co urządzenie robi z ustanowionymi sesjami, gdy to łącze znika. Zachowaj tabelę rutowania jako dowód, a nie pole wyboru przełączania awaryjnego.
Przetestuj jeden przepływ dozwolony i jeden zabroniony
Rejestr jest wart zachowania tylko wtedy, gdy urządzenie można odebrać według niego. Wybierz jeden przepływ, który musi działać, jeden, który nie może, i uruchom oba z klienta w danym segmencie. Tunel przenoszący każdą podsieć to porażka, gdy wymaganiem była jedna podsieć.
Następnie potwierdź blokadę, bo permisywne ustawienie domyślne jest zwykłą niespodzianką. Segment gości nie może dotrzeć do adresu zarządzania, a sprawdzenie powinno pokazać przekroczenie czasu lub odmowę, a nie stronę logowania.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Jeśli dozwolony przepływ działa i zabroniony też działa, brakuje segmentacji, choć menu sugerowały co innego. Jeśli oba zawiodą, zasięg tunelu lub droga powrotna są błędne, a rejestr WAN zwykle wyjaśnia który. Zachowaj oba wyniki razem z rejestrem możliwości, aby następny recenzent zobaczył, co przyjęto, na jakim firmware i w jakiej dacie.