Druhý router ako VPN brána: čo nerieši

Umiestniť druhý router za hlavný je čistý spôsob, ako dať niekoľkým zariadeniam iný východ. Je to aj miesto, kde ľudia očakávajú väčšiu izoláciu, než zariadenie poskytuje. Hlavná sieť si zachováva obvyklú cestu a podriadená sieť nasleduje politiku druhého routera. Čo sa deje medzi nimi a čo sa deje, keď tunel zlyhá, je časť, ktorá si zaslúži plánovanie.

Zostava funguje. Mýty sa týkajú toho, pred čím chráni. Stále je to užitočný návrh; len sám o sebe nie je bezpečnostnou hranicou.

Mýtus: druhý router tunel úplne izoluje

Zariadenia za druhou bránou nasledujú jej politiku. Zariadenia v hlavnej sieti tento tunel nedededia, a o to ide. Druhý router však stále má vzostupnú cestu cez prvý a tá cesta je vzťah, ktorý musíte spravovať.

Druhý router tiež potrebuje klientsky profil VPN. Funkcia, ktorá prijíma len prichádzajúce VPN spojenia, nevytvára odchádzajúci tunel k poskytovateľovi. Pred kúpou hardvéru skontrolujte podporu klienta vo firmvéri.

Dajte podriadenej sieti podsieť, ktorá sa neprekrýva. Kopírovanie vzorového rozsahu bez kontroly existujúcich sietí je spoľahlivý spôsob, ako vytvoriť smerovací hlavolam.

Mýtus: dvojitý NAT je len zapuzdrenie VPN

Dve smerované brány môžu vytvoriť dvojitý NAT, a to je oddelené od vlastného zapuzdrenia VPN. Bežná odchádzajúca prevádzka zvyčajne funguje. Prichádzajúci prístup k službám si vyžaduje zámerný návrh, často presmerovanie portu na oboch zariadeniach alebo úplne iný prístup.

Dodatočná vrstva prekladu tiež sťažuje čítanie protokolov. Zdrojová adresa v protokole hlavného routera môže patriť druhému routeru, nie zariadeniu, ktoré ladíte. To je dobré vedieť, kým sa pustíte za fantómovým zariadením.

Zapíšte plán adries, kým čokoľvek zapnete.

Mýtus: objavovanie prechádza, lebo obe LAN dobre prehliadajú

Obe siete môžu prehliadať internet, kým objavovanie medzi nimi zlyháva. Telefón v hlavnej Wi-Fi nemusí nájsť televízor za VPN bránou, pretože multicast objavovanie predvolene neprekračuje smerovanú hranicu. Ak na tom záleží, potrebujete reflektor alebo inú topológiu. Úspešné prehliadanie nie je dôkazom lokálneho objavovania.

Udržujte rozhranie na správu druhého routera dostupné z autorizovanej cesty bez zverejnenia vo WAN. Pred zmenou trás uložte konfiguráciu oboch brán.

Otestujte DNS a IPv6, ako aj viditeľnú výstupnú adresu. Tunel, ktorý prenáša len IPv4, môže uniknúť druhej rodine. Oba výsledky zapíšte do záznamu o zmene.

Čo vám druhá brána skutočne dá

Robí rozsah viditeľným. Môžete ukázať na jedno zariadenie a povedať, ktorá sieť nasleduje tunel, a domácnosť si zachová obvyklú cestu. Tá jasnosť stojí pri mnohých domovoch za extra hardvér.

Je to stále ďalšie udržiavané zariadenie s prihlasovacími údajmi, firmvérom a procesom obnovy. Rozhodnite, či sa zariadenia nižšie majú zastaviť alebo vrátiť, keď VPN zlyhá, a toto správanie otestujte. Brána neodstraňuje prevádzkovú prácu; koncentruje ju. Recept na klienta pfSense WireGuard pokrýva tunelovú stranu na jednej bežnej platforme.