Други рутер као VPN приступна тачка: шта не решава

Постављање другог рутера иза главног је чист начин да неколико уређаја добије другачији излаз. То је и место где људи очекују више изолације него што уређај пружа. Главна мрежа задржава своју уобичајену путању, а доња мрежа прати политику другог рутера. Оно што се дешава између њих и оно што се дешава када тунел падне јесте део који вреди планирати.

Поставка ради. Митови се односе на то шта она штити. То је још увек користан дизајн; само није безбедносна граница сама по себи.

Мит: други рутер потпуно изолује тунел

Уређаји иза другог гејтвеја прате његову политику. Уређаји на главној мрежи не наслеђују тај тунел, и то је поента. Али други рутер и даље има узлазну путању кроз први, а та путања је однос којим морате да управљате.

Другом рутеру је такође потребан клијентски профил VPN-а. Функција која прихвата само долазне VPN везе не ствара одлазни тунел према провајдеру. Проверите подршку за клијенте у фирмверу пре него што купите хардвер.

Дајте доњој мрежи подмрежу која се не преклапа. Копирање примерног опсега без провере постојећих мрежа поуздан је начин да створите загонетку рутирања.

Мит: дупли NAT је само инкапсулација VPN-а

Два рутирана гејтвеја могу створити дупли NAT, а то је одвојено од сопствене инкапсулације VPN-а. Обичан одлазни саобраћај обично ради. Долазни приступ услугама захтева намеран дизајн, често прослеђивање порта на оба уређаја или потпуно другачији приступ.

Додатни слој превођења такође отежава читање записа. Изворишна адреса у запису главног рутера може припадати другом рутеру, а не уређају који исправљате. То вреди знати пре него што кренете у потеру за фантомским уређајем.

Запишите план адреса пре него што било шта укључите.

Мит: откривање прелази јер оба LAN-а добро претражују

Обе мреже могу претраживати интернет док откривање између њих не ради. Телефон на главном Wi-Fi-ју можда неће наћи телевизор иза VPN гејтвеја, јер multicast откривање подразумевано не прелази рутирану границу. Ако је то важно, потребан вам је рефлектор или другачија топологија. Успешно претраживање није доказ локалног откривања.

Држите управљачко сучеље другог рутера доступним са овлашћене путање без објављивања на WAN-у. Сачувајте конфигурацију оба гејтвеја пре него што промените руте.

Тестирајте DNS и IPv6 као и видљиву излазну адресу. Тунел који носи само IPv4 може процурити другу породицу. Упишите оба резултата у запис о промени.

Шта вам други гејтвеј заиста даје

Чини обим видљивим. Можете показати на један уређај и рећи која мрежа прати тунел, а домаћинство задржава своју уобичајену путању. Та јасноћа за многе домове вреди додатног хардвера.

То је ипак још један уређај који се одржава, са подацима за пријаву, фирмвером и процесом опоравка. Одлучите да ли доњи уређаји треба да се зауставе или врате када VPN падне, и тестирајте то понашање. Гејтвеј не уклања оперативни рад; он га концентрише. Рецепт за pfSense WireGuard клијента покрива тунелску страну на једној уобичајеној платформи.