Кућна лабораторија и подељени тунел: усмерите само оно што вам треба, не све

Савет да кућној лабораторији треба пун тунел обично долази из упутства које га је имало, а не из захтева. Подељени тунел није компромисна верзија исправног VPN-а; то је верзија чију табелу рута можете да објасните. Лабораторији са пет услуга и административним интерфејсом није потребно да сваки пакет који напусти кућу прође кроз тунел. Потребан јој је попис и рута за сваку ставку тог пописа.

Мит: подељени тунел је компромис

Мит опстаје зато што је пун тунел лакше подесити једном, а теже отклонити грешке касније. Та размена је разумна за преносни рачунар на јавном Wi-Fi-ју и погрешна за регал у подруму.

Он крије и другу претпоставку: адресирање лабораторије нема ништа заједничко са мрежом са које се повезујете.

Попишите ресурсе пре рута

Запишите сваку подмрежу лабораторије, услугу која тамо живи, име по коме је решавате и ко сме да јој приступи; белешке о прослеђивању за ваш пролаз описују повратни пут према коме планирате. Додајте опсеге контејнера и LAN опсеге које удаљени клијент можда већ користи, јер преклапање је отказ који овај попис спречава. Рута која покрива сваку приватну адресу пре или касније судариће се са кућном мрежом. Попис је и тест-план, зато га вреди направити пре конфигурације, а не после.

Доделите сваком ресурсу пут: кроз тунел, директно или забрањено. Ресурс без додељеног пута је онај који касније ствара збуњено питање подршци.

Пет редова и колона одлука побеђују табелу рута коју нико не може да прочита.

Пролаз захтева повратни пут

Прослеђивање на пролазу је само половина. Лабораторији треба рута назад до базена клијената или подржани распоред превођења који омогућава повратак. Ако одговори не могу да пронађу клијента, тунел изгледа повезан и сваки захтев истиче; то је симптом рутирања, а не отказ VPN-а. Проверите повратни пут као део пројекта, а не као корак за отклањање проблема.

Базен клијената који се преклапа са сопственим адресирањем лабораторије је друга половина овог проблема и отказује на потпуно исти начин.

Поправите план, а не симптоме када се два опсега сударе.

Улоге администрације и интернета су одвојене

Одлучите да ли само саобраћај лабораторије користи тунел или он постаје и излаз у интернет. Не додајте подразумевану руту само зато што је упутство користило једну, јер та одлука мења куда иде сваки DNS упит и свака провера ажурирања. Сачувајте спољашњи пут до саме крајње тачке VPN-а, иначе ће тунел покушати да носи сопствену спољашњу везу. Држите приступ администрацији уским и доступним преко одобреног метода опоравка.

Приватни DNS може се изабрати за имена лабораторије без претпоставке да сваки јавни упит захтева исти резолвер. То је одлука о резолверу, не одлука о рути.

Њихово раздвајање је оно што начине отказа чини разлучивим касније.

Тестирајте споља, не из LAN-а

Користите спољашњу одобрену везу уместо теста из истог LAN-а, јер тест из истог LAN-а може потпуно да сакрије недостајућу повратну руту. Проверите адресу лабораторије, њено приватно име хоста, предвиђено директно одредиште и захтевано понашање при отказу. Случај отказа је једнако важан као случај успеха: ресурс до кога не треба да се стигне мора заиста бити недоступан. Запишите сва четири резултата пре него што пројекат прогласите завршеним.

Затим сачувајте конфигурацију рута и DNS-а поред пописа, са именованим власником. Када лабораторија добије још једну подмрежу, ажурирајте обе и поново тестирајте.

Необјашњена рута која се преклапа са постојећом кућном мрежом је подразумевани исход прескакања тог корака.

Завршен пројекат је мали, документован и досадан, и управо то лабораторија жели од своје мреже. Занимљива верзија је она која се поквари док сте далеко од куће.