Dodajte VPN lokacije ob usmerjevalniku ISP brez prekinitve klicev

Večina majhnih lokacij že ima eno napravo, ki skrbi za internet, DHCP in glasovno linijo, in ta naprava ne bo vodila tunela lokacije. Dodajanje druge prehodne točke za zasebno pot deluje, če se pred dotikom kabla odločite, kdo je lastnik katere poti. Pravo tveganje ni tunel, ampak tiho zamenjati napravo, ki drži telefone registrirane. Opravite pet preverjanj po vrsti in ustavite se tam, kjer eno spodleti.

Zapišite vloge, ki že delujejo

Zabeležite privzeto prehodno točko, strežnik DHCP, razreševalnik in napravo, na kateri je glasovna registracija ponudnika. V tem primeru je usmerjevalnik ISP 10.50.0.1, nova prehodna točka bo 10.50.0.2, oddaljena lokacija pa 10.60.0.0/24. Nič v tem načrtu ne spremeni prvih treh vlog in prav to je bistvo. Nato preverite, ali druga naprava res lahko zaključi tunel: poglejte protokol, pričakovano prepustnost in ali prejema posodobitve strojne programske opreme ali paketov. Naprava z logotipom VPN in brez poti posodobitev je breme, ne dodatek.

Če ne morete povedati, komu pripada glasovna storitev, se ustavite. Zamenjava usmerjevalnika z registracijo brez načrta vrnitve spremeni projekt VPN v telefonsko prekinitev.

Dajte novi prehodni točki en naslov in eno nalogo

Rezervirajte njen naslov LAN zunaj nabora DHCP, da se po ponovnem zagonu ne premakne, in ji ne dajte lastne privzete poti, razen če želite, da postane internetna pot. Njena naloga je držati tunel in odgovarjati za oddaljene predpone. Na gostiteljih v LAN, ki morajo doseči oddaljeno lokacijo, dokažite, katero pot uporabljajo zdaj in katero želite po spremembi; isti dve ukazni vrstici pred in po sta najcenejši dokaz.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Če iskanje vrne usmerjevalnik ISP in traceroute umre na robu interneta, gostitelj še nima oddaljene poti, kar je pričakovano. Če vrne kaj nepričakovanega, najprej to rešite, ker vsak naslednji korak predpostavlja to osnovo.

Izberite, komu pripada pot oddaljene predpone

Možnost A je usmerjevalnik ISP: drži statično pot za 10.60.0.0/24 proti prehodni točki in vsak gostitelj sledi svoji privzeti prehodni točki kot prej. Možnost B je po gostiteljih: samo stroji, ki potrebujejo oddaljeno lokacijo, dobijo izrecno pot skozi 10.50.0.2, vse drugo ostane nedotaknjeno. A je čistejša pri mnogih gostiteljih, a običajno zahteva, da usmerjevalnik ponudnika sprejme statično pot, česar nekateri ne storijo. B ne potrebuje sodelovanja ponudnika, a vam pušča vzdrževanje konfiguracije gostiteljev, zato ustreza majhnemu odobrenemu naboru strojev.

V obeh primerih mora obstajati povratna smer. Če oddaljeni odgovor prispe na prehodno točko in jo ta posreduje naravnost na gostitelja v LAN, promet obide stanje požarnega zidu, ki ga je usmerjevalnik ISP držal na izhodni poti. Ko prehodna točka ni privzeti usmerjevalnik LAN, je ta asimetrija oblikovalska odločitev, ne napaka, ki bi jo lahko prezrli.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Vnos naredite trajen prek lastnika konfiguracije gostitelja, ne prek prijavne skripte. Pot, ki obstaja šele po tem, ko se nekdo prijavi, bo spodletela prvič, ko se stroj znova zažene iz nepovezanega razloga.

Zagotovite dosegljivo vhodno točko

Prehodna točka potrebuje naslov, ki ga oddaljena lokacija lahko doseže. Za usmerjevalnikom ISP to pomeni posredovanje vrat ali vnos DMZ, oboje pa je odvisno od tega, ali ponudnik promet res dostavi. Lokalno posredovanje ne premaga NAT na ravni operaterja pri ponudniku. Če ponudnik ne da dosegljive točke, obrnite smer: pustite obema lokacijama, da začneta proti vozlišču, ki ga nadzorujete. To je veljavna zasnova, a doda tretjo odvisnost za posredovanje, zaupanje in razpoložljivost, dinamični DNS pa je ne nadomesti.

Posredovanje potrdite z zajemom na prehodni točki, ne s spletnim mestom, ki skenira vrata. Skenerji poročajo vrata kot zaprta, dokler poslušalec ni vezan, posredovanje, ki nikoli ne dostavi prometa, pa je od zunaj videti enako kot zaprta vrata.

Sprejmite zasebno storitev in glasovno linijo skupaj

Preizkusite predvideno delovanje z gostitelja v LAN, z zasebnim DNS in lastnimi poverilnicami aplikacije. Usmerjen tunel ne naredi oddaljenega brskanja podobnega lokalnemu segmentu Ethernet, zato odkrivanje in razreševanje imen potrebujeta svoje ureditve.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Nato potrdite, da običajen dostop do interneta z istega gostitelja še deluje in da so telefoni še registrirani; ti dve preverjanji ujameta naključno spremembo privzete poti, najpogostejši način, kako ta projekt pokvari nekaj, česar se ni nameraval dotakniti. Končajte s pisno opombo o obnovitvi: katera naprava ima katero vlogo, rezervirani naslovi in kako v enem koraku odstraniti pot oddaljene predpone. Zasebna pot, ki jo je mogoče čisto umakniti, je vredna več kot tista, ki deluje samo danes.