Pridajte VPN lokality vedľa routera ISP bez prerušenia hovorov

Zachovajte internetovú a hlasovú rolu routera ISP, zatiaľ čo súkromnú cestu prevezme druhá brána. Vykonajte týchto päť kontrol, kým zmeníte akúkoľvek trasu.

Väčšina malých lokalít má už jedno zariadenie, ktoré robí internet, DHCP a hlasovú linku, a toto zariadenie nebude viesť tunel lokality. Pridanie druhej brány pre súkromnú cestu funguje, ak si pred dotykom kábla ujasníte, komu patrí ktorá trasa. Skutočné riziko nie je tunel, ale tichá výmena zariadenia, ktoré drží telefóny registrované. Vykonajte päť kontrol v poradí a zastavte sa tam, kde jedna zlyhá.

Zapíšte role, ktoré už fungujú

Zaznamenajte predvolenú bránu, DHCP server, prekladač a zariadenie, ktoré má hlasovú registráciu poskytovateľa. V tomto príklade je router ISP 10.50.0.1, nová brána bude 10.50.0.2 a vzdialená lokalita 10.60.0.0/24. Nič v tomto pláne nemení prvé tri role a presne o to ide. Potom potvrďte, že druhé zariadenie naozaj dokáže ukončiť tunel: skontrolujte protokol, očakávanú priepustnosť a či dostáva aktualizácie firmvéru alebo balíkov. Zariadenie s logom VPN a bez cesty aktualizácií je záťaž, nie prínos.

Ak nedokážete povedať, komu patrí hlasová služba, zastavte sa. Výmena routera, ktorý má registráciu, bez plánu návratu premení projekt VPN na výpadok telefónov.

Dajte novej bráne jednu adresu a jednu úlohu

Rezervujte jej LAN adresu mimo fondu DHCP, aby sa po reštarte nepohla, a nedávajte jej vlastnú predvolenú trasu, ak nechcete, aby sa stala internetovou cestou. Jej úlohou je držať tunel a odpovedať za vzdialené prefixy. Na hostoch v LAN, ktoré musia dosiahnuť vzdialenú lokalitu, dokážte, ktorú trasu používajú teraz a ktorú chcete po zmene; tie isté dva príkazy pred a po sú najlacnejší dôkaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ak vyhľadanie vráti router ISP a traceroute umrie na okraji internetu, host zatiaľ nemá vzdialenú trasu, čo je očakávané. Ak vráti niečo neočakávané, vyriešte to najskôr, pretože každý ďalší krok predpokladá tento základ.

Vyberte, komu patrí trasa vzdialeného prefixu

Varianta A je router ISP: drží statickú trasu pre 10.60.0.0/24 smerom k bráne a každý host ide ako predtým cez svoju predvolenú bránu. Varianta B je po hostoch: len stroje, ktoré potrebujú vzdialenú lokalitu, dostanú explicitnú trasu cez 10.50.0.2, a všetko ostatné zostane nedotknuté. A je čistejšia pri mnohých hostoch, ale zvyčajne vyžaduje, aby router poskytovateľa prijal statickú trasu, čo niektorí nerobia. B nepotrebuje spoluprácu poskytovateľa, ale necháva vám údržbu konfigurácie hostov, takže sa hodí pre malú schválenú skupinu strojov.

V oboch prípadoch musí existovať spätný smer. Ak vzdialená odpoveď príde na bránu a brána ju pošle priamo na host v LAN, prevádzka obíde stav firewallu, ktorý router ISP držal na ceste von. Keď brána nie je predvoleným routerom LAN, táto asymetria je rozhodnutie dizajnu, nie chyba, ktorú možno ignorovať.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Uložte záznam natrvalo cez správcu konfigurácie hosta, nie cez prihlasovací skript. Trasa, ktorá existuje len po niekoho prihlásení, zlyhá pri prvom reštarte stroja z nesúvisiaceho dôvodu.

Zabezpečte dostupný vstupný bod

Brána potrebuje adresu, na ktorú sa vzdialená lokalita dostane. Za routerom ISP to znamená presmerovanie portu alebo záznam DMZ a oboje závisí od toho, či poskytovateľ prevádzku naozaj doručí. Miestne presmerovanie neprekoná NAT na úrovni operátora na strane poskytovateľa. Ak poskytovateľ nedá dostupný bod, otočte smer: nech obe lokality iniciujú spojenie k rozbočovaču, ktorý ovládate. Je to platný návrh, ale pridáva tretiu závislosť na presmerovaní, dôvere a dostupnosti a dynamický DNS to nenahradí.

Presmerovanie potvrďte zachytením na bráne, nie webom, ktorý skenuje porty. Skenery hlásia port zatvorený, kým sa naslúchajúci socket nepripojí, a presmerovanie, ktoré nikdy nič nedoručí, vyzerá zvonka rovnako ako zatvorený port.

Prijmite súkromnú službu aj hlasovú linku spoločne

Otestujte zamýšľanú prevádzku z hosta v LAN, so súkromným DNS a vlastnými prihlasovacími údajmi aplikácie. Smerovaný tunel nerobí zo vzdialeného prehliadania lokálny ethernetový segment, takže objavovanie a preklad mien potrebujú vlastné usporiadanie.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Potom potvrďte, že bežný prístup na internet z toho istého hosta stále funguje a telefóny sú stále registrované; tieto dve kontroly zachytia náhodnú zmenu predvolenej trasy, najčastejší spôsob, akým tento projekt pokazí niečo, čo vôbec nechcelo zasiahnuť. Skončite písomnou poznámkou k obnove: ktoré zariadenie drží ktorú rolu, rezervované adresy a ako odstrániť trasu vzdialeného prefixu jedným krokom. Súkromná cesta, ktorú možno čisto stiahnuť, má väčšiu cenu než tá, ktorá funguje len dnes.

Súvisiace články