Shtoni një VPN siti pranë routerit të ISP-së pa ndërprerë telefonatat

Shumica e site-ve të vogla kanë tashmë një kuti që bën internetin, DHCP dhe linjën e zërit, dhe ajo kuti nuk do të drejtojë tunelin e site-it tuaj. Shtimi i një gateway të dytë për rrugën private funksionon nëse vendosni kush zotëron secilën rrugë përpara se të prekni një kabllo. Rreziku i vërtetë nuk është tuneli, por ndryshimi i heshtur i pajisjes që mban telefonat të regjistruar. Kryeni pesë kontrollet me radhë dhe ndaloni aty ku njëra dështon.

Shkruani rolet që funksionojnë tashmë

Regjistroni gateway-in e parazgjedhur, serverin DHCP, zgjidhësin dhe pajisjen që mban regjistrimin e zërit të ofruesit. Në këtë shembull routeri i ISP-së është 10.50.0.1, gateway-i i ri do të jetë 10.50.0.2 dhe site-i i largët është 10.60.0.0/24. Asgjë në atë plan nuk ndryshon tre rolet e para, dhe pikërisht kjo është çështja. Më pas konfirmoni se kutia e dytë vërtet mund ta përfundojë tunelin: shikoni protokollin, xhiron e pritur dhe nëse merr përditësime firmware ose paketash. Një pajisje me logo VPN dhe pa rrugë përditësimi është barrë, jo shtesë.

Nëse nuk mund të thoni kujt i përket shërbimi i zërit, ndaloni. Zëvendësimi i routerit që mban një regjistrim pa plan kthimi e shndërron një projekt VPN në ndërprerje telefoni.

Jepini gateway-it të ri një adresë dhe një detyrë

Rezervoni adresën e tij LAN jashtë grupit DHCP që të mos lëvizë pas një rindezjeje, dhe mos i jepni rrugë të parazgjedhur vetjake, përveç nëse dëshironi që të bëhet rrugë interneti. Detyra e tij është të mbajë tunelin dhe të përgjigjet për prefikset e largëta. Në hostet LAN që duhet të arrijnë site-in e largët, provoni cilën rrugë marrin tani dhe cilën dëshironi pas ndryshimit; të njëjtat dy komanda para dhe pas janë prova më e lirë.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Nëse kërkimi kthen routerin e ISP-së dhe traceroute vdes në skajin e internetit, hosti nuk ka ende rrugë të largët, çka pritet. Nëse kthen diçka të papritur, zgjidhni atë fillimisht, sepse çdo hap pasardhës supozon këtë bazë.

Zgjidhni kush zotëron rrugën e prefiksit të largët

Opsioni A është routeri i ISP-së: mban një rrugë statike për 10.60.0.0/24 drejt gateway-it dhe çdo host ndjek gateway-in e tij të parazgjedhur si më parë. Opsioni B është për host: vetëm makinat që kanë nevojë për site-in e largët marrin një rrugë të qartë përmes 10.50.0.2, dhe gjithçka tjetër mbetet e paprekur. A është më e pastër me shumë hoste, por zakonisht kërkon që routeri i ofruesit të pranojë një rrugë statike, gjë që disa nuk e bëjnë. B nuk kërkon bashkëpunim nga ofruesi, por ju lë mirëmbajtjen e konfigurimit të hosteve, prandaj përshtatet me një grup të vogël makinash të miratuara.

Në të dyja rastet duhet të ekzistojë drejtimi i kthimit. Nëse një përgjigje e largët arrin në gateway dhe gateway-i e përcjell drejt në një host LAN, trafiku anashkalon gjendjen e firewall-it që routeri i ISP-së mbante në rrugën dalëse. Kur gateway-i nuk është routeri i parazgjedhur i LAN-it, ajo asimetri është vendim projektimi, jo defekt që mund të injorohet.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Bëjeni hyrjen të përhershme përmes pronarit të konfigurimit të hostit, jo përmes një skripti hyrjeje. Një rrugë që ekziston vetëm pasi dikush hyn do të dështojë herën e parë që makina rindizet për një arsye të palidhur.

Përgatitni një pikë hyrëse të arritshme

Gateway-it i duhet një adresë që site-i i largët mund ta arrijë. Pas routerit të ISP-së kjo do të thotë ridrejtim porti ose një hyrje DMZ, dhe të dyja varen nga fakti që ofruesi ta dërgojë vërtet trafikun. Një ridrejtim lokal nuk e kalon NAT-in e nivelit të operatorit nga ana e ofruesit. Nëse ofruesi nuk jep një pikë të arritshme, përmbysni drejtimin: lërini të dy site-et të nisin drejt një qendre që ju kontrolloni. Ky është projektim i vlefshëm, por shton një varësi të tretë për përcjelljen, besimin dhe disponueshmërinë, dhe DNS dinamik nuk e zëvendëson.

Konfirmoni ridrejtimin me një kapje në gateway, jo me një faqe që skanon porta. Skanerët raportojnë portën të mbyllur derisa dëgjuesi të lidhet, dhe një ridrejtim që nuk dërgon kurrë trafik duket nga jashtë njësoj si një portë e mbyllur.

Pranoni shërbimin privat dhe linjën e zërit së bashku

Provoni funksionimin e synuar nga një host LAN, me DNS privat dhe kredencialet e vetë aplikacionit. Një tunel i rrugëzuar nuk e bën shfletimin e largët të duket si një segment Ethernet lokal, prandaj zbulimi dhe zgjidhja e emrave kërkojnë rregullime të tyret.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Më pas konfirmoni se qasja normale në internet funksionon ende nga i njëjti host dhe se telefonat janë ende të regjistruar; këto dy kontrolle kapin një ndryshim aksidental të rrugës së parazgjedhur, mënyra më e zakonshme se si ky projekt prish diçka që nuk synonte ta prekte. Përfundoni me një shënim të shkruar rikuperimi: cila pajisje mban cilin rol, adresat e rezervuara dhe si të hiqet rruga e prefiksit të largët në një hap. Një rrugë private që mund të tërhiqet pastër vlen më shumë se një që funksionon vetëm sot.