Laboratório doméstico e túnel dividido: encaminhe o que precisa, não tudo

O conselho de que um laboratório doméstico precisa de um túnel completo costuma vir de um tutorial que tinha um, não de um requisito. O tunelamento dividido não é a versão comprometida de uma VPN correta; é a versão cuja tabela de rotas você consegue explicar. Um laboratório com cinco serviços e uma interface de gestão não precisa que todo pacote que sai de casa atravesse um túnel. O que ele precisa é de um inventário e de uma rota para cada item desse inventário.

O mito: o tunelamento dividido é um compromisso

O mito sobrevive porque um túnel completo é mais fácil de configurar uma vez e mais difícil de depurar depois. Essa troca é razoável para um portátil em Wi-Fi pública e errada para um rack no porão.

Ele também esconde uma segunda suposição: o endereçamento do laboratório não tem nada em comum com a rede de onde você se conecta.

Inventarie os recursos antes das rotas

Anote cada sub-rede do laboratório, o serviço que mora ali, o nome pelo qual você a resolve e quem tem permissão para alcançá-la; as notas de encaminhamento do seu gateway descrevem o caminho de volta contra o qual você planeja. Acrescente as faixas de contêineres e as faixas de LAN que o cliente remoto talvez já use, porque a sobreposição é a falha que este inventário evita. Uma rota que cobre cada endereço privado vai colidir com uma rede doméstica mais cedo ou mais tarde. O inventário também é o plano de teste, por isso vale fazê-lo antes da configuração e não depois.

Atribua a cada recurso um caminho: pelo túnel, direto ou negado. Um recurso sem caminho atribuído é o que gera depois a pergunta de suporte confusa.

Cinco linhas e uma coluna de decisões vencem uma tabela de rotas que ninguém consegue ler.

O gateway precisa de um caminho de volta

O encaminhamento no gateway é só metade. O laboratório precisa de uma rota de volta ao pool de clientes, ou de um arranjo de tradução suportado que torne o retorno possível. Se as respostas não encontram o cliente, o túnel parece conectado e toda requisição expira; isso é um sintoma de roteamento, não uma falha de VPN. Verifique o caminho de volta como parte do projeto, não como etapa de solução de problemas.

Um pool de clientes que se sobrepõe ao endereçamento do próprio laboratório é a outra metade deste problema, e falha exatamente da mesma forma.

Corrija o plano, não os sintomas, quando as duas faixas colidem.

Os papéis de gestão e internet são separados

Decida se só o tráfego do laboratório usa o túnel ou se ele também vira uma saída para a internet. Não acrescente uma rota padrão só porque um tutorial usou uma, porque essa decisão muda para onde vai cada consulta DNS e cada verificação de atualização. Preserve um caminho externo até o próprio endpoint da VPN, ou o túnel tentará carregar a própria conexão externa. Mantenha o acesso de gestão estreito e alcançável por um método de recuperação aprovado.

Pode-se escolher um DNS privado para os nomes do laboratório sem supor que toda consulta pública precise do mesmo resolvedor. Isso é uma decisão de resolvedor, não uma decisão de rota.

Mantê-los separados é o que torna os modos de falha distinguíveis depois.

Teste de fora, não da LAN

Use uma conexão externa autorizada em vez de um teste da mesma LAN, porque um teste da mesma LAN pode esconder completamente uma rota de volta ausente. Verifique um endereço do laboratório, o nome de host privado dele, um destino direto pretendido e o comportamento de falha exigido. O caso de falha importa tanto quanto o de sucesso: um recurso que não deveria ser alcançável precisa ser realmente inalcançável. Registre os quatro resultados antes de dar o projeto por terminado.

Depois guarde a configuração de rotas e DNS ao lado do inventário, com um proprietário nomeado. Quando o laboratório ganhar outra sub-rede, atualize ambos e teste de novo.

Uma rota sem explicação que se sobrepõe a uma rede doméstica existente é o resultado padrão de pular essa etapa.

O projeto terminado é pequeno, documentado e entediante, que é exatamente o que um laboratório quer da sua rede. A versão interessante é a que quebra enquanto você está longe de casa.