Dodajte VPN lokacije uz ISP ruter bez prekidanja poziva

Većina malih lokacija već ima jedan uređaj koji radi internet, DHCP i glasovnu liniju, a taj uređaj neće voditi tunel lokacije. Drugi gateway za privatnu putanju funkcioniše ako pre dodira kabla odlučite kome pripada koja ruta. Pravi rizik nije tunel, već tiha zamena uređaja koji drži telefone registrovane. Prođite pet provera redom i zaustavite se gde jedna ne uspe.

Zapišite uloge koje već rade

Zabeležite podrazumevani gateway, DHCP server, razrešivač i uređaj na kome je glasovna registracija provajdera. U ovom primeru ISP ruter je 10.50.0.1, novi gateway će biti 10.50.0.2, a udaljena lokacija 10.60.0.0/24. Ništa u tom planu ne menja prve tri uloge i upravo je to poenta. Zatim potvrdite da drugi uređaj zaista može da završi tunel: pogledajte protokol, očekivani protok i da li dobija ažuriranja firmvera ili paketa. Uređaj sa VPN logom i bez puta ažuriranja je teret, a ne dodatak.

Ako ne možete da kažete kome pripada glasovna usluga, zaustavite se. Zamena rutera koji ima registraciju bez plana vraćanja pretvara VPN projekat u telefonski prekid.

Dajte novom gatewayu jednu adresu i jedan zadatak

Rezervišite njegovu LAN adresu izvan DHCP opsega da se ne pomeri posle restarta, i ne dajte mu sopstvenu podrazumevanu rutu osim ako želite da postane internet put. Njegov zadatak je da drži tunel i odgovara za udaljene prefikse. Na LAN domaćinima koji moraju da dođu do udaljene lokacije dokažite koji put sada koriste i koji želite posle promene; iste dve komande pre i posle najjeftiniji su dokaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ako pretraga vraća ISP ruter i traceroute umire na ivici interneta, domaćin još nema udaljeni put, što je očekivano. Ako vraća nešto neočekivano, prvo to rešite, jer svaki sledeći korak pretpostavlja ovu osnovu.

Izaberite kome pripada ruta udaljenog prefiksa

Opcija A je ISP ruter: drži statičku rutu za 10.60.0.0/24 prema gatewayu, i svaki domaćin prati svoj podrazumevani gateway kao ranije. Opcija B je po domaćinu: samo mašine kojima treba udaljena lokacija dobijaju eksplicitnu rutu kroz 10.50.0.2, a sve ostalo ostaje netaknuto. A je čistija za mnogo domaćina, ali obično zahteva da provajderov ruter prihvati statičku rutu, što neki ne rade. B ne traži saradnju provajdera, ali vam ostavlja održavanje konfiguracije domaćina, pa odgovara malom odobrenom skupu mašina.

U oba slučaja povratni smer mora da postoji. Ako udaljeni odgovor stigne na gateway i gateway ga prosledi pravo na LAN domaćina, saobraćaj preskače stanje firewall-a koje je ISP ruter držao na izlaznom putu. Kada gateway nije podrazumevani ruter LAN-a, ta asimetrija je dizajnerska odluka, a ne greška koju možete ignorisati.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Učvrstite unos kroz vlasnika konfiguracije domaćina, a ne kroz skriptu za prijavu. Ruta koja postoji samo posle nečije prijave pašće prvi put kada se mašina restartuje zbog nepovezanog razloga.

Obezbedite dostupnu ulaznu tačku

Gatewayu treba adresa do koje udaljena lokacija može da dođe. Iza ISP rutera to znači prosleđivanje porta ili DMZ unos, i oboje zavisi od toga da li provajder zaista dostavlja saobraćaj. Lokalno prosleđivanje ne pobeđuje NAT operatorskog nivoa na strani provajdera. Ako provajder ne daje dostupnu tačku, obrnite smer: neka obe lokacije iniciraju prema čvorištu koje kontrolišete. To je valjan dizajn, ali dodaje treću zavisnost za prosleđivanje, poverenje i dostupnost, a dinamički DNS to ne zamenjuje.

Potvrdite prosleđivanje snimkom na gatewayu, a ne sajtom koji skenira portove. Skeneri prijavljuju port zatvorenim dok se slušalac ne veže, a prosleđivanje koje nikad ne dostavi saobraćaj spolja izgleda isto kao zatvoren port.

Prihvatite privatnu uslugu i glasovnu liniju zajedno

Testirajte predviđeni rad sa LAN domaćina, uz privatni DNS i sopstvene akreditive aplikacije. Rutirani tunel ne čini udaljeno pregledanje lokalnim Ethernet segmentom, pa otkrivanje i razrešavanje imena traže sopstvene dogovore.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Zatim potvrdite da običan pristup internetu sa istog domaćina još radi i da su telefoni još registrovani; te dve provere hvataju slučajnu promenu podrazumevane rute, najčešći način na koji ovaj projekat pokvari nešto što nije nameravao da dotakne. Završite pisanom beleškom o oporavku: koji uređaj drži koju ulogu, rezervisane adrese i kako ukloniti rutu udaljenog prefiksa u jednom koraku. Privatna putanja koja može čisto da se povuče vredi više od one koja radi samo danas.