Drugi usmerjevalnik kot prehod VPN: česa ne reši

Postavitev drugega usmerjevalnika za glavnega je čist način, da nekaj napravam damo drugačen izhod. To je tudi mesto, kjer ljudje pričakujejo več izolacije, kot jo naprava ponuja. Glavno omrežje ohrani svojo običajno pot, omrežje spodaj pa sledi politiki drugega usmerjevalnika. Kaj se dogaja med njima in kaj se zgodi, ko tunel odpove, je del, ki si zasluži načrtovanje.

Nastavitev deluje. Miti so o tem, pred čim ščiti. Še vedno je uporabna zasnova; le sama po sebi ni varnostna meja.

Mit: drugi usmerjevalnik popolnoma izolira tunel

Naprave za drugim prehodom sledijo njegovi politiki. Naprave v glavnem omrežju ne podedujejo tega tunela, in to je bistvo. Toda drugi usmerjevalnik ima še vedno pot navzgor skozi prvega, in ta pot je odnos, ki ga morate upravljati.

Drugi usmerjevalnik potrebuje tudi profil odjemalca VPN. Funkcija, ki sprejema samo dohodne povezave VPN, ne ustvari izhodnega tunela do ponudnika. Preverite podporo odjemalca v vdelani programski opremi, preden kupite strojno opremo.

Omrežju spodaj dajte podomrežje, ki se ne prekriva. Kopiranje vzorčnega obsega brez preverjanja obstoječih omrežij je zanesljiv način za ustvarjanje usmerjevalne uganke.

Mit: dvojni NAT je le kapsuliranje VPN

Dva usmerjena prehoda lahko ustvarita dvojni NAT, in to je ločeno od lastnega kapsuliranja VPN. Običajen izhodni promet običajno deluje. Dohodni dostop do storitev zahteva namerno zasnovo, pogosto posredovanje vrat na obeh napravah ali povsem drugačen pristop.

Dodatna plast prevajanja tudi oteži branje dnevnikov. Izvorni naslov v dnevniku glavnega usmerjevalnika lahko pripada drugemu usmerjevalniku, ne napravi, ki jo odpravljate. To je dobro vedeti, preden se poženete za fantomsko napravo.

Zapišite načrt naslovov, preden karkoli vklopite.

Mit: odkrivanje prehaja, ker oba LAN dobro brskata

Obe omrežji lahko brskata po internetu, medtem ko odkrivanje med njima odpove. Telefon v glavnem Wi-Fi morda ne najde televizorja za prehodom VPN, ker multicast odkrivanje privzeto ne prečka usmerjene meje. Če je to pomembno, potrebujete odsevnik ali drugo topologijo. Uspešno brskanje ni dokaz lokalnega odkrivanja.

Vmesnik za upravljanje drugega usmerjevalnika naj bo dosegljiv s pooblaščene poti, ne da bi ga objavili v WAN. Preden spremenite poti, shranite konfiguracijo obeh prehodov.

Preizkusite DNS in IPv6 ter vidni izhodni naslov. Tunel, ki prenaša samo IPv4, lahko razkrije drugo družino. Oba rezultata zapišite v zapis o spremembi.

Kaj vam drugi prehod v resnici da

Naredi obseg viden. Lahko pokažete na eno napravo in poveste, katero omrežje sledi tunelu, gospodinjstvo pa ohrani svojo običajno pot. Ta jasnost je pri mnogih domovih vredna dodatne strojne opreme.

To je še ena naprava, ki jo je treba vzdrževati, s poverilnicami, vdelano programsko opremo in postopkom obnovitve. Odločite se, ali se morajo naprave spodaj ustaviti ali vrniti, ko VPN odpove, in to vedenje preizkusite. Prehod ne odpravi operativnega dela; osredotoči ga. Recept za odjemalca pfSense WireGuard pokriva tunelsko stran na eni pogosti platformi.