VPN router: LAN a WAN — čo si zapísať pred kúpou
Štítok VPN nehovorí nič o VLAN, prepínaní pri výpadku WAN ani úlohách tunelov. Zapíšte presné schopnosti modelu a firmvéru, ktorý chcete nasadiť.
Berte štítok pripravený na VPN ako jednu vlastnosť zariadenia, ktoré musí aj smerovať, segmentovať a pri výpadku prepínať, lebo štítok nehovorí nič o tom, koľko oddelených sietí zariadenie pojme. Začnite zápisom prehľadu schopností pre presný model a firmvér a potom tento prehľad porovnajte s tokmi, ktoré lokalita potrebuje. Marketingové stránky vymenúvajú konektory; málokedy uvádzajú členstvo vo VLAN, politiku prepínania pri výpadku alebo rozsah tunela. Zápis zaberie asi dvadsať minút a vyrieši väčšinu nákupných sporov pred príchodom hardvéru.
Najprv zafixujte presné zariadenie
Názvy modelov putujú medzi generáciami firmvéru a tá istá skriňa môže byť dodaná s iným ovládačom prepínača podľa vydania. Čítajte identitu dosky zo samotného zariadenia, nie z kartónu, aby každé neskoršie tvrdenie bolo viazané na niečo, čo dokážete zopakovať. Jeden príkaz pokrýva model, názov dosky a vydanie firmvéru v OpenWrt a ekvivalentné obrazovky existujú vo väčšine podnikových firmvérov.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseZapíšte tie reťazce do prehľadu, nikdy skrátené. Potom oddeľte bežnú úlohu smerovania od úlohy tunela. Zariadenie, ktoré dobre preposiela pakety, môže napriek tomu odmietnuť ukončiť tunel, a zariadenie, ktoré tunel ukončuje, nemusí mať spôsob, ako udržať dve miestne siete oddelené. Ak sa oboje berie ako jedna požiadavka, nesúlad sa skrýva, kým jednotka už nie je v racku, nakonfigurovaná a na polovicu dôveryhodná.
Zapíšte štruktúru LAN, nie počet portov
Štyri konektory zvyčajne znamenajú jeden prepínač a prepínač znamená jednu broadcastovú doménu, ak nie sú nakonfigurované VLAN. To je v poriadku pre plochú domácu sieť a nesprávne pre lokalitu, ktorá chce na tom istom zariadení segment pre hostí, segment pre správu a izolovaný segment pre kamery. Zapíšte, ktoré porty patria ku ktorej VLAN, ktoré VLAN dosiahnu procesor a ktoré rozhrania nesú adresy.
Tam, kde firmvér ponúka VLAN, rozhoduje zoznam rozhraní, koľko odlišných politík môžete napísať. VLAN definovaná na prepínači, ale nikdy nepriradená ako rozhranie, nemá adresu ani zónu firewallu, takže sama nič nevynúti.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Čítajte stav prepínača, namiesto toho, aby ste verili ponuke. Na starších cieľoch OpenWrt nástroj prepínača vypisuje nakonfigurované zariadenia a na cieľoch DSA nástroje mosta hlásia rovnaké fakty pre každý port, preto vydanie firmvéru patrí do prehľadu.
Zapíšte správanie WAN a prepínania pri výpadku
Metóda prístupu, vlastníctvo adresy a poradie prepínania pri výpadku patria na jeden riadok pre každé nadradené pripojenie, lebo tunel, ktorý prežije zmenu WAN, závisí od všetkých troch. Relácia PPPoE sa znova pripojí s novou adresou a zhodí s ňou aj tunel, zatiaľ čo pripojenie DHCP, ktoré si drží nájom, to nemusí urobiť.
Prepínanie pri výpadku si vyžaduje aj rozhodnutie o politike. Posielať všetku prevádzku na záložné spojenie je ľahké; udržať tunel na primárnom, kým bežná webová prevádzka používa záložné, vyžaduje politické smerovanie a nie každý firmvér ho ponúka. Poznamenajte, či je tunel viazaný na jedno nadradené pripojenie a čo zariadenie robí s nadviazanými reláciami, keď to pripojenie zmizne. Uložte smerovaciu tabuľku ako dôkaz, nie zaškrtávacie políčko prepínania pri výpadku.
Otestujte jeden povolený a jeden zakázaný tok
Prehľad má cenu uchovávať len vtedy, ak sa zariadenie podľa neho dá prijať. Vyberte jeden tok, ktorý musí fungovať, jeden, ktorý nesmie, a spustite oba z klienta v dotknutom segmente. Tunel, ktorý nesie každú podsiev, je zlyhanie, keď požiadavkou bola jedna podsiev.
Potom potvrďte zákaz, lebo povoľujúce predvolené nastavenie je obvyklé prekvapenie. Segment pre hostí nesmie dosiahnuť adresu správy a kontrola by mala ukázať vypršanie času alebo odmietnutie, nie prihlasovaciu stránku.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Ak povolený tok funguje a zakázaný tiež, segmentácia chýba, aj keď ponuky naznačovali opak. Ak oba zlyhajú, rozsah tunela alebo spiatočná cesta sú nesprávne a prehľad WAN zvyčajne vysvetlí ktorý. Uchovajte oba výsledky s prehľadom schopností, aby ďalší recenzent videl, čo bolo prijaté, na akom firmvéri a k akému dátumu.