VPN-роутер: LAN и WAN — что записать перед покупкой
Маркировка VPN ничего не говорит о VLAN, переключении при сбое WAN или ролях туннелей. Запишите точные возможности модели и прошивки, которую собираетесь внедрять.
Относитесь к маркировке «готов к VPN» как к одной функции устройства, которое также должно маршрутизировать, сегментировать и переключаться при сбое, ведь маркировка ничего не говорит о том, сколько отдельных сетей устройство может вместить. Начните с записи возможностей для точной модели и прошивки, затем сравните эту запись с потоками, которые нужны площадке. Маркетинговые страницы перечисляют порты; они редко перечисляют членство в VLAN, политику переключения при сбое или охват туннеля. Запись занимает около двадцати минут и снимает большинство споров о покупке до прибытия оборудования.
Сначала зафиксируйте точное устройство
Названия моделей переходят между поколениями прошивок, и один и тот же корпус может поставляться с другим драйвером коммутатора в зависимости от выпуска. Читайте идентичность платы с самого устройства, а не с коробки, чтобы каждое последующее утверждение было привязано к тому, что вы можете воспроизвести. Одна команда охватывает модель, имя платы и выпуск прошивки в OpenWrt, а эквивалентные экраны есть в большинстве корпоративных прошивок.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseЗапишите эти строки в запись, никогда не сокращая. Затем отделите обычную задачу маршрутизации от задачи туннеля. Устройство, которое хорошо пересылает пакеты, всё равно может отказаться завершать туннель, а устройство, завершающее туннель, может не иметь способа держать две локальные сети раздельно. Если считать это одним требованием, несоответствие скрывается, пока блок уже не смонтирован в стойке, настроен и наполовину признан надёжным.
Записывайте структуру LAN, а не число портов
Четыре разъёма обычно означают один коммутатор, а коммутатор означает один широковещательный домен, если не настроены VLAN. Это подходит для плоской домашней сети и не подходит площадке, которой нужен гостевой сегмент, сегмент управления и изолированный сегмент камер на одном устройстве. Запишите, какие порты относятся к какому VLAN, какие VLAN доходят до процессора и какие интерфейсы несут адреса.
Там, где прошивка предлагает VLAN, список интерфейсов определяет, сколько отдельных политик вы можете написать. VLAN, заданный на коммутаторе, но так и не назначенный интерфейсом, не имеет адреса и зоны межсетевого экрана, поэтому сам по себе ничего не обеспечивает.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Читайте состояние коммутатора, а не полагайтесь на меню. На старых целях OpenWrt инструмент коммутатора печатает настроенные устройства, а на целях DSA инструменты моста сообщают те же факты по каждому порту, поэтому выпуск прошивки относится к записи.
Запишите поведение WAN и переключения при сбое
Способ доступа, владение адресом и порядок переключения при сбое относятся к одной строке на каждый восходящий канал, ведь туннель, переживающий смену WAN, зависит от всех трёх. Сессия PPPoE переподключается с новым адресом и роняет туннель вместе с ним, а восходящий канал DHCP, сохраняющий аренду, может этого не делать.
Переключение при сбое требует и решения о политике. Отправлять весь трафик на резервный канал легко; удерживать туннель на основном, пока обычный веб-трафик идёт через резерв, требует маршрутизации по политике, и не каждая прошивка её предоставляет. Отметьте, привязан ли туннель к одному восходящему каналу и что устройство делает с установленными сессиями, когда этот канал исчезает. Сохраните таблицу маршрутизации как доказательство, а не флажок переключения при сбое.
Проверьте один разрешённый и один запрещённый поток
Запись стоит хранить, только если устройство можно принять по ней. Выберите один поток, который должен работать, один, который не должен, и запустите оба с клиента в нужном сегменте. Туннель, несущий каждую подсеть, — это провал, когда требованием была одна подсеть.
Затем подтвердите запрет, ведь разрешающая настройка по умолчанию — обычная неожиданность. Гостевой сегмент не должен достигать адреса управления, и проверка должна показывать тайм-аут или отказ, а не страницу входа.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Если разрешённый поток работает и запрещённый тоже, сегментации нет, хотя меню намекали на обратное. Если оба падают, охват туннеля или обратный путь неверны, и запись WAN обычно объясняет, что именно. Храните два результата вместе с записью возможностей, чтобы следующий проверяющий увидел, что принято, на какой прошивке и в какую дату.