Второй роутер как VPN-шлюз: что он не решает

Поставить второй роутер за основным — чистый способ дать нескольким устройствам другой выход. Это ещё и место, где люди ожидают большей изоляции, чем даёт устройство. Основная сеть сохраняет обычный путь, а нижестоящая сеть следует политике второго роутера. То, что происходит между ними, и то, что происходит при отказе туннеля, — это часть, достойная планирования.

Настройка работает. Мифы о том, от чего она защищает. Это по-прежнему полезный дизайн; просто сам по себе он не является границей безопасности.

Миф: второй роутер полностью изолирует туннель

Устройства за вторым шлюзом следуют его политике. Устройства основной сети не наследуют этот туннель, и в этом смысл. Но у второго роутера по-прежнему есть путь вверх через первый, и этот путь — отношения, которыми нужно управлять.

Второму роутеру также нужен клиентский профиль VPN. Функция, которая принимает только входящие VPN-подключения, не создаёт исходящий туннель к провайдеру. Проверьте поддержку клиента в прошивке, прежде чем покупать оборудование.

Дайте нижестоящей сети подсеть без пересечений. Копирование примера диапазона без проверки существующих сетей — надёжный способ создать головоломку маршрутизации.

Миф: двойной NAT — это только инкапсуляция VPN

Два маршрутизируемых шлюза могут создать двойной NAT, и это отдельно от собственной инкапсуляции VPN. Обычный исходящий трафик обычно работает. Входящий доступ к сервисам требует продуманного дизайна, часто проброса порта на обоих устройствах или совсем иного подхода.

Дополнительный слой трансляции также усложняет чтение журналов. Адрес источника в журнале основного роутера может принадлежать второму роутеру, а не устройству, которое вы отлаживаете. Это стоит знать, прежде чем гоняться за фантомным устройством.

Запишите план адресов, прежде чем что-либо включать.

Миф: обнаружение проходит, потому что обе LAN хорошо просматриваются

Обе сети могут просматривать интернет, пока обнаружение между ними не работает. Телефон в основной Wi-Fi может не найти телевизор за VPN-шлюзом, потому что multicast-обнаружение по умолчанию не пересекает маршрутизируемую границу. Если это важно, нужен отражатель или другая топология. Успешный просмотр не является доказательством локального обнаружения.

Держите интерфейс управления второго роутера доступным с разрешённого пути, не публикуя его в WAN. Сохраните конфигурацию обоих шлюзов, прежде чем менять маршруты.

Проверьте DNS и IPv6, а также видимый адрес выхода. Туннель, который несёт только IPv4, может утечь другое семейство. Запишите оба результата в журнал изменений.

Что второй шлюз действительно даёт

Он делает масштаб видимым. Вы можете указать на одно устройство и сказать, какая сеть идёт через туннель, а домохозяйство сохраняет обычный путь. Эта ясность для многих домов стоит дополнительного оборудования.

Это всё ещё ещё одно обслуживаемое устройство с учётными данными, прошивкой и процессом восстановления. Решите, должны ли нижестоящие устройства останавливаться или возвращаться при отказе VPN, и проверьте это поведение. Шлюз не убирает эксплуатационную работу; он её концентрирует. Рецепт клиента pfSense WireGuard охватывает сторону туннеля на одной распространённой платформе.