Drugi ruter kao VPN pristupna tačka: šta ne rešava
Drugi ruter daje izabranim uređajima drugačiji izlaz. Ne uklanja dvostruki NAT, ne popravlja lokalno otkrivanje i ne održava se sam kada tunel padne.
Postavljanje drugog rutera iza glavnog je čist način da nekoliko uređaja dobije drugačiji izlaz. To je i mesto gde ljudi očekuju više izolacije nego što uređaj pruža. Glavna mreža zadržava svoju uobičajenu putanju, a donja mreža prati politiku drugog rutera. Ono što se dešava između njih i ono što se dešava kada tunel padne jeste deo koji vredi planirati.
Postavka radi. Mitovi se odnose na to šta ona štiti. To je još uvek koristan dizajn; samo nije bezbednosna granica sama po sebi.
Mit: drugi ruter potpuno izoluje tunel
Uređaji iza drugog gatewaya prate njegovu politiku. Uređaji na glavnoj mreži ne nasleđuju taj tunel, i to je poenta. Ali drugi ruter i dalje ima uzlaznu putanju kroz prvi, a ta putanja je odnos kojim morate da upravljate.
Drugom ruteru je takođe potreban klijentski profil VPN-a. Funkcija koja prihvata samo dolazne VPN veze ne stvara odlazni tunel prema provajderu. Proverite podršku za klijente u firmveru pre nego što kupite hardver.
Dajte donjoj mreži podmrežu koja se ne preklapa. Kopiranje primernog opsega bez provere postojećih mreža pouzdan je način da stvorite zagonetku rutiranja.
Mit: dvostruki NAT je samo enkapsulacija VPN-a
Dva rutirana gatewaya mogu stvoriti dvostruki NAT, a to je odvojeno od sopstvene enkapsulacije VPN-a. Običan odlazni saobraćaj obično radi. Dolazni pristup uslugama zahteva nameran dizajn, često prosleđivanje porta na oba uređaja ili potpuno drugačiji pristup.
Dodatni sloj prevođenja takođe otežava čitanje zapisa. Izvorišna adresa u zapisu glavnog rutera može pripadati drugom ruteru, a ne uređaju koji ispravljate. To vredi znati pre nego što krenete u poteru za fantomskim uređajem.
Zapišite plan adresa pre nego što bilo šta uključite.
Mit: otkrivanje prelazi jer oba LAN-a dobro pretražuju
Obe mreže mogu pretraživati internet dok otkrivanje između njih ne radi. Telefon na glavnom Wi-Fi-ju možda neće naći televizor iza VPN gatewaya, jer multicast otkrivanje po defaultu ne prelazi rutiranu granicu. Ako je to važno, potreban vam je reflektor ili drugačija topologija. Uspešno pretraživanje nije dokaz lokalnog otkrivanja.
Držite upravljačko sučelje drugog rutera dostupnim sa ovlašćene putanje bez objavljivanja na WAN-u. Sačuvajte konfiguraciju oba gatewaya pre nego što promenite rute.
Testirajte DNS i IPv6 kao i vidljivu izlaznu adresu. Tunel koji nosi samo IPv4 može procuriti drugu porodicu. Upišite oba rezultata u zapis o promeni.
Šta vam drugi gateway zapravo daje
Čini obim vidljivim. Možete pokazati na jedan uređaj i reći koja mreža prati tunel, a domaćinstvo zadržava svoju uobičajenu putanju. Ta jasnoća za mnoge domove vredi dodatnog hardvera.
To je ipak još jedan uređaj koji se održava, sa podacima za prijavu, firmverom i procesom oporavka. Odlučite da li donji uređaji treba da se zaustave ili vrate kada VPN padne, i testirajte to ponašanje. Gateway ne uklanja operativni rad; on ga koncentriše. Recept za pfSense WireGuard klijenta pokriva tunelsku stranu na jednoj uobičajenoj platformi.