Un al doilea router ca poartă VPN: ce nu rezolvă

Plasarea unui al doilea router în spatele celui principal este o modalitate curată de a oferi câtorva dispozitive o altă ieșire. Este și locul unde oamenii așteaptă mai multă izolare decât oferă dispozitivul. Rețeaua principală își păstrează calea obișnuită, iar rețeaua din aval urmează politica celui de-al doilea router. Ce se întâmplă între ele, și ce se întâmplă când tunelul cade, este partea care merită planificată.

Configurația funcționează. Miturile sunt despre ce protejează. Este încă un design util; pur și simplu nu este o graniță de securitate de unul singur.

Mit: al doilea router izolează complet tunelul

Dispozitivele din spatele celei de-a doua porți urmează politica acesteia. Dispozitivele din rețeaua principală nu moștenesc acel tunel, și acesta este rostul. Dar al doilea router are în continuare o cale ascendentă prin primul, iar acea cale este o relație pe care trebuie să o gestionezi.

Al doilea router are nevoie și de un profil de client VPN. O funcție care acceptă doar conexiuni VPN de intrare nu creează un tunel de ieșire către un furnizor. Verifică suportul de client al firmware-ului înainte de a cumpăra hardware-ul.

Oferă rețelei din aval o subrețea care nu se suprapune. Copierea unui interval exemplu fără a verifica rețelele existente este o modalitate sigură de a crea un rebus de rutare.

Mit: NAT-ul dublu este doar încapsularea VPN-ului

Două porți rutate pot crea NAT dublu, iar asta este separat de încapsularea proprie a VPN-ului. Traficul obișnuit de ieșire funcționează de obicei. Accesul la servicii de intrare necesită un design deliberat, adesea o redirecționare de port pe ambele dispozitive sau o abordare complet diferită.

Stratul suplimentar de traducere face și jurnalele mai greu de citit. O adresă sursă din jurnalul routerului principal poate aparține celui de-al doilea router în locul dispozitivului pe care îl depanezi. Merită să știi asta înainte de a urmări un dispozitiv fantomă.

Scrie planul de adrese înainte de a porni ceva.

Mit: descoperirea trece pentru că ambele LAN navighează bine

Ambele rețele pot naviga pe internet în timp ce descoperirea dintre ele eșuează. Un telefon din Wi-Fi principal s-ar putea să nu găsească un televizor din spatele porții VPN, pentru că descoperirea multicast nu traversează o graniță rutată în mod implicit. Dacă asta contează, ai nevoie de un reflector sau de o topologie diferită. Succesul la navigare nu este dovadă a descoperirii locale.

Menține interfața de administrare a celui de-al doilea router accesibilă dintr-o cale autorizată fără a o publica pe WAN. Salvează configurația ambelor porți înainte de a schimba rutele.

Testează DNS și IPv6, precum și adresa de ieșire vizibilă. Un tunel care transportă doar IPv4 poate scurge cealaltă familie. Scrie ambele rezultate în registrul de modificări.

Ce îți oferă de fapt a doua poartă

Face domeniul vizibil. Poți indica un dispozitiv și spune care rețea urmează tunelul, iar gospodăria își păstrează calea obișnuită. Acea claritate merită hardware-ul suplimentar pentru multe case.

Este încă un dispozitiv de întreținut, cu acreditări, firmware și un proces de recuperare. Decide dacă dispozitivele din aval trebuie să se oprească sau să revină când VPN-ul cade, și testează acel comportament. Poarta nu elimină munca operațională; o concentrează. Rețeta pentru clientul pfSense WireGuard acoperă partea de tunel pe o platformă comună.