Usmerjevalnik VPN: LAN in WAN — kaj zapisati pred nakupom
Nalepka VPN ne pove ničesar o VLAN, preklopu ob okvari WAN ali vlogah tunelov. Zapišite natančne zmogljivosti modela in strojne programske opreme, ki jo nameravate uvesti.
Nalepko pripravljeno za VPN obravnavajte kot eno lastnost naprave, ki mora tudi usmerjati, segmentirati in ob okvari preklopiti, saj nalepka ne pove ničesar o tem, koliko ločenih omrežij lahko naprava sprejme. Začnite s pisanjem evidence zmogljivosti za natančen model in strojno programsko opremo, nato to evidenco primerjajte s tokovi, ki jih mesto potrebuje. Marketinške strani naštevajo vtičnice; redko naštevajo članstvo v VLAN, politiko preklopa ob okvari ali obseg tunela. Evidenca traja približno dvajset minut in razreši večino nakupnih sporov pred prihodom strojne opreme.
Najprej določite natančno napravo
Imena modelov potujejo med generacijami strojne programske opreme in isto ohišje je lahko dobavljeno z drugim gonilnikom stikala glede na izdajo. Identiteto plošče preberite z naprave same in ne s kartona, da bo vsaka poznejša trditev vezana na nekaj, kar lahko ponovite. En ukaz pokrije model, ime plošče in izdajo strojne programske opreme v OpenWrt, enakovredni zasloni pa obstajajo v večini poslovnih programskih oprem.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseTe nize zapišite v evidenco, nikoli skrajšane. Nato ločite običajno usmerjevalno delo od dela s tunelom. Naprava, ki dobro posreduje pakete, lahko vseeno zavrne zaključek tunela, naprava, ki zaključi tunel, pa morda nima načina, da bi dve lokalni omrežji držala ločeni. Če oboje obravnavate kot eno zahtevo, se neskladje skrije, dokler enota ni že vgrajena v omaro, konfigurirana in na pol zaupanja vredna.
Zapišite zgradbo LAN, ne števila vrat
Štiri vtičnice običajno pomenijo eno stikalo, stikalo pa pomeni eno oddajno domeno, razen če so konfigurirani VLAN. To je v redu za ravno domače omrežje in napačno za mesto, ki želi na isti napravi segment za goste, segment za upravljanje in ločen segment za kamere. Zapišite, katera vrata pripadajo kateremu VLAN, kateri VLAN dosežejo procesor in kateri vmesniki nosijo naslove.
Kjer strojna programska oprema ponuja VLAN, seznam vmesnikov odloči, koliko različnih pravil lahko napišete. VLAN, definiran na stikalu, a nikoli dodeljen kot vmesnik, nima naslova in nima območja požarnega zidu, zato sam ne more ničesar uveljaviti.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Berite stanje stikala, namesto da zaupate meniju. Na starejših ciljih OpenWrt orodje za stikalo izpiše konfigurirane naprave, na ciljih DSA pa mostna orodja poročajo ista dejstva za vsaka vrata, zato izdaja strojne programske opreme spada v evidenco.
Zapišite vedenje WAN in preklopa ob okvari
Način dostopa, lastništvo naslova in vrstni red preklopa ob okvari spadajo v eno vrstico za vsako nadrejeno povezavo, ker je tunel, ki preživi spremembo WAN, odvisen od vseh treh. Seja PPPoE se znova poveže z novim naslovom in s seboj podre tunel, medtem ko nadrejena povezava DHCP, ki obdrži najem, tega morda ne stori.
Preklop ob okvari zahteva tudi odločitev o politiki. Pošiljanje vsega prometa na rezervno povezavo je preprosto; zadrževanje tunela na primarni, medtem ko običajni spletni promet uporablja rezervno, zahteva usmerjanje po politiki in vsaka programska oprema ga ne ponuja. Zapišite, ali je tunel vezan na eno nadrejeno povezavo in kaj naprava naredi z vzpostavljenimi sejami, ko ta povezava izgine. Shranite usmerjevalno tabelo kot dokaz, ne potrditvenega polja preklopa ob okvari.
Preizkusite en dovoljen in en zavrnjen tok
Evidenca je vredna shranjevanja le, če je napravo mogoče sprejeti po njej. Izberite en tok, ki mora delovati, enega, ki ne sme, in zaženite oba s odjemalca v zadevnem segmentu. Tunel, ki nosi vsako podomrežje, je neuspeh, ko je bila zahteva eno podomrežje.
Nato potrdite zavrnitev, saj je dovoljujoča privzeta nastavitev običajno presenečenje. Segment za goste ne sme doseči naslova za upravljanje in preverjanje bi moralo pokazati časovno prekoračitev ali zavrnitev, ne prijavne strani.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Če dovoljeni tok deluje in zavrnjeni tudi, segmentacije ni, čeprav so meniji namigovali drugače. Če oba ne uspeta, sta obseg tunela ali povratna pot napačna in evidenca WAN običajno pojasni, katera. Shranite oba rezultata z evidenco zmogljivosti, da bo naslednji pregledovalec videl, kaj je bilo sprejeto, na kateri programski opremi in na kateri datum.