Router VPN: LAN dhe WAN — çfarë duhet regjistruar para blerjes

Trajtojeni etiketën e gatshme për VPN si një veçori të një pajisjeje që duhet gjithashtu të rutojë, të segmentojë dhe të kalojë në rezervë kur dështon, sepse etiketa nuk thotë asgjë për sa rrjeta të veçanta mund të mbajë pajisja. Filloni duke shkruar një regjistër aftësish për modelin dhe firmware-n e sakta, pastaj krahasoni atë regjistër me rrjedhat që i nevojiten vendit. Faqet e marketingut listojnë priza; rrallë listojnë anëtarësimin në VLAN, politikën e kalimit në rezervë ose shtrirjen e tunelit. Regjistri zgjat rreth njëzet minuta dhe zgjidh shumicën e debateve të blerjes përpara se të arrijë hardueri.

Fiksoni pajisjen e saktë para çdo gjëje tjetër

Emrat e modelit udhëtojnë ndërmjet brezave të firmware-t, dhe i njëjti kapsë mund të dorëzohet me një drejtues tjetër komutatori sipas versionit. Lexoni identitetin e pllakës nga vetë pajisja dhe jo nga kartoni, që çdo pretendim i mëvonshëm të lidhet me diçka që mund ta riprodhoni. Një komandë mbulon modelin, emrin e pllakës dhe versionin e firmware-t në OpenWrt, dhe ekranet ekuivalente ekzistojnë në shumicën e firmware-ve të biznesit.

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

Shkruani ato vargje në regjistër, kurrë të shkurtuara. Pastaj ndani punën e zakonshme të rutimit nga puna e tunelit. Një pajisje që përcjell mirë paketat mund të refuzojë ende të përfundojë një tunel, dhe një pajisje që përfundon një tunel mund të mos ketë mënyrë për të mbajtur dy rrjeta lokale të ndara. Nëse të dyja trajtohen si një kërkesë e vetme, mospërputhja fshihet derisa njësia është tashmë e montuar në raft, e konfiguruar dhe gjysmë e besuar.

Regjistroni strukturën e LAN, jo numrin e portave

Katër priza zakonisht nënkuptojnë një komutator, dhe komutatori nënkupton një domen transmetimi nëse nuk janë konfiguruar VLAN. Kjo është në rregull për një rrjet shtëpiak të sheshtë dhe e gabuar për një vend që dëshiron një segment mysafirësh, një segment administrimi dhe një segment kamerash të izoluar në të njëjtën pajisje. Regjistroni cilat porta i përkasin cilit VLAN, cilat VLAN arrijnë CPU-në dhe cilat ndërfaqe mbajnë adresa.

Aty ku firmware-i ofron VLAN, lista e ndërfaqeve vendos sa politika të ndryshme mund të shkruani. Një VLAN i përcaktuar në komutator por i pacaktuar kurrë si ndërfaqe nuk ka adresë dhe nuk ka zonë muri zjarri, prandaj nuk mund të zbatojë asgjë vetë.

Lexoni gjendjen e komutatorit në vend që t'i besoni menysë. Në objektivat më të vjetra OpenWrt mjeti i komutatorit shtyp pajisjet e konfiguruara, dhe në objektivat DSA mjetet e urës raportojnë të njëjtat fakte për secilën portë, prandaj versioni i firmware-t i përket regjistrit.

Regjistroni sjelljen e WAN dhe të kalimit në rezervë

Metoda e qasjes, pronësia e adresës dhe rendi i kalimit në rezervë i përkasin një rreshti për secilën lidhje sipër, sepse një tunel që i mbijeton një ndryshimi të WAN varet nga të treja. Një sesion PPPoE rilidhet me një adresë të re dhe e rrëzon tunelin bashkë me të, ndërsa një lidhje sipër DHCP që ruan qiranë e saj mund të mos e bëjë këtë.

Kalimi në rezervë kërkon gjithashtu një vendim politike. Dërgimi i të gjithë trafikut në lidhjen rezervë është i lehtë; mbajtja e tunelit në atë kryesore ndërsa trafiku normal i uebit përdor rezervën kërkon rrugëtim të bazuar në politikë, dhe jo çdo firmware e ofron atë. Regjistroni nëse tuneli është i lidhur me një lidhje sipër dhe çfarë bën pajisja me sesionet e vendosura kur ajo lidhje zhduket. Ruani tabelën e rrugëtimit si provë, jo kutinë e kalimit në rezervë.

Provoni një rrjedhë të lejuar dhe një rrjedhë të refuzuar

Regjistri ia vlen të mbahet vetëm nëse pajisja mund të pranohet sipas tij. Zgjidhni një rrjedhë që duhet të funksionojë, një që nuk duhet, dhe ekzekutoni të dyja nga një klient në segmentin në fjalë. Një tunel që mbart çdo nënrrjet është dështim kur kërkesa ishte një nënrrjet.

Pastaj konfirmoni refuzimin, sepse një vlerë e parazgjedhur lejuese është surpriza e zakonshme. Segmenti i mysafirëve nuk duhet të arrijë adresën e administrimit, dhe kontrolli duhet të tregojë një skadim kohe ose refuzim, jo një faqe hyrjeje.

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

Nëse rrjedha e lejuar funksionon dhe ajo e refuzuar gjithashtu, segmentimi mungon edhe pse menytë sugjeruan të kundërtën. Nëse të dyja dështojnë, shtrirja e tunelit ose rruga e kthimit janë të gabuara, dhe regjistri i WAN zakonisht shpjegon cila. Ruani dy rezultatet bashkë me regjistrin e aftësive, që rishikuesi tjetër të shohë çfarë u pranua, në cilin firmware dhe në çfarë date.