Domači laboratorij in razdeljen tunel: usmerjajte le tisto, kar potrebujete, ne vsega

Nasvet, da domači laboratorij potrebuje polni tunel, običajno prihaja iz priročnika, ki ga je imel, ne iz zahteve. Razdeljen tunel ni kompromisna različica pravega VPN; to je različica, katere usmerjevalno tabelo lahko razložite. Laboratorij s petimi storitvami in vmesnikom za upravljanje ne potrebuje, da bi vsak paket, ki zapusti hišo, šel skozi tunel. Potrebuje popis in pot za vsak element tega popisa.

Mit: razdeljen tunel je kompromis

Mit preživi, ker je polni tunel lažje enkrat nastaviti in težje pozneje razhroščevati. Ta menjava je smiselna za prenosnik na javnem Wi-Fi in napačna za regal v kleti.

Skriva tudi drugo predpostavko: naslavljanje laboratorija nima nič skupnega z omrežjem, s katerega se povezujete.

Popišite vire pred potmi

Zapišite vsako podomrežje laboratorija, storitev, ki tam živi, ime, s katerim jo razrešujete, in kdo se ji sme približati; opombe o posredovanju za vaš prehod opisujejo povratno pot, glede na katero načrtujete. Dodajte obsege vsebnikov in obsege LAN, ki jih oddaljeni odjemalec morda že uporablja, ker je prekrivanje odpoved, ki jo ta popis preprečuje. Pot, ki pokriva vsak zasebni naslov, se bo prej ali slej zaletela v domače omrežje. Popis je tudi načrt testiranja, zato se ga splača narediti pred konfiguracijo in ne po njej.

Vsakemu viru dodelite pot: skozi tunel, neposredno ali zavrnjeno. Vir brez dodeljene poti je tisti, ki pozneje ustvari zmedeno vprašanje za podporo.

Pet vrstic in stolpec odločitev premaga usmerjevalno tabelo, ki je nihče ne zna brati.

Prehod potrebuje povratno pot

Posredovanje na prehodu je le polovica. Laboratorij potrebuje pot nazaj do bazena odjemalcev ali podprto prevajalno ureditev, ki vrnitvijo omogoči. Če odgovori ne najdejo odjemalca, je tunel videti povezan in vsaka zahteva se izteče; to je simptom usmerjanja, ne odpoved VPN. Povratno pot preverite kot del zasnove, ne kot korak odpravljanja težav.

Bazen odjemalcev, ki se prekriva z lastnim naslavljanjem laboratorija, je druga polovica te težave in odpove na popolnoma enak način.

Popravite načrt, ne simptomov, ko se obsega zaletita.

Vlogi upravljanja in interneta sta ločeni

Odločite se, ali tunel uporablja samo promet laboratorija ali postane tudi internetni izhod. Ne dodajte privzete poti samo zato, ker jo je uporabil priročnik, ker ta odločitev spremeni, kam gre vsako poizvedovanje DNS in vsako preverjanje posodobitev. Ohranite zunanjo pot do same končne točke VPN, sicer bo tunel poskušal nositi lastno zunanjo povezavo. Dostop za upravljanje naj bo ozek in dosegljiv prek odobrene metode obnovitve.

Za imena laboratorija je mogoče izbrati zasebni DNS, ne da bi predpostavili, da vsako javno poizvedovanje potrebuje isti razreševalnik. To je odločitev o razreševalniku, ne odločitev o poti.

Prav njuna ločitev naredi načine odpovedi pozneje razločljive.

Testirajte od zunaj, ne iz LAN

Uporabite zunanjo pooblaščeno povezavo namesto preizkusa iz istega LAN, ker lahko preizkus iz istega LAN povsem skrije manjkajočo povratno pot. Preverite naslov laboratorija, njegovo zasebno ime gostitelja, predvideni neposredni cilj in zahtevano vedenje ob odpovedi. Primer odpovedi je enako pomemben kot primer uspeha: vir, do katerega ne bi smelo biti mogoče priti, mora biti res nedosegljiv. Zapišite vse štiri rezultate, preden zasnovo razglasite za dokončano.

Nato shranite konfiguracijo poti in DNS ob popisu, z navedenim lastnikom. Ko laboratorij dobi še eno podomrežje, posodobite oboje in znova preizkusite.

Nepojasnjena pot, ki se prekriva z obstoječim domačim omrežjem, je privzeti izid preskoka tega koraka.

Dokončana zasnova je majhna, dokumentirana in dolgočasna, in točno to laboratorij želi od svojega omrežja. Zanimiva različica je tista, ki se pokvari, ko ste zdoma.