Andra routern som VPN-gateway: vad den inte löser

Att sätta en andra router bakom huvudroutern är ett rent sätt att ge några enheter en annan utgång. Det är också där människor förväntar sig mer isolering än enheten levererar. Huvudnätet behåller sin vanliga väg, och nätet nedströms följer den andra routerns policy. Det som händer mellan dem, och det som händer när tunneln fallerar, är den del som förtjänar planering.

Uppsättningen fungerar. Myterna handlar om vad den skyddar. Det är fortfarande en användbar design; det är bara inte en säkerhetsgräns i sig.

Myt: den andra routern isolerar tunneln helt

Enheter bakom den andra gatewayen följer dess policy. Enheter på huvudnätet ärver inte den tunneln, och det är poängen. Men den andra routern har fortfarande en uppströmsväg genom den första, och den vägen är en relation du måste hantera.

Den andra routern behöver också en VPN-klientprofil. En funktion som bara accepterar inkommande VPN-anslutningar skapar inte en utgående tunnel till en leverantör. Kontrollera firmwarets klientstöd innan du köper hårdvaran.

Ge nätet nedströms ett subnät som inte överlappar. Att kopiera ett exempelintervall utan att kontrollera befintliga nät är ett pålitligt sätt att skapa ett routingpussel.

Myt: dubbel NAT är bara VPN:ets inkapsling

Två routade gatewayer kan skapa dubbel NAT, och det är skilt från VPN:ets egen inkapsling. Vanlig utgående trafik fungerar oftast. Inkommande tjänsteåtkomst kräver en medveten design, ofta portvidarebefordran på båda enheterna eller en helt annan strategi.

Det extra översättningslagret gör också loggarna svårare att läsa. En källadress i huvudrouterns logg kan tillhöra den andra routern i stället för enheten du felsöker. Det är bra att veta innan du jagar en fantomenhet.

Skriv ned adressplanen innan du slår på något.

Myt: upptäckt passerar eftersom båda LAN:en surfar bra

Båda näten kan surfa på internet medan upptäckten mellan dem misslyckas. En telefon på huvud-Wi-Fi kanske inte hittar en tv bakom VPN-gatewayen, eftersom multicast-upptäckt inte korsar en routad gräns som standard. Om det spelar roll behöver du en reflektor eller en annan topologi. Lyckad surfning är inte bevis på lokal upptäckt.

Håll den andra routerns administrationsgränssnitt nåbart från en auktoriserad väg utan att publicera det på WAN. Spara konfigurationen för båda gatewayerna innan du ändrar rutter.

Testa DNS och IPv6 samt den synliga utgångsadressen. En tunnel som bara bär IPv4 kan läcka den andra familjen. Skriv båda resultaten i ändringsloggen.

Vad den andra gatewayen faktiskt ger dig

Den gör omfattningen synlig. Du kan peka på en enhet och säga vilket nät som följer tunneln, och hushållet behåller sin vanliga väg. Den tydligheten är den extra hårdvaran värd för många hem.

Det är fortfarande en annan enhet som måste underhållas, med inloggningsuppgifter, firmware och en återställningsprocess. Bestäm om enheter nedströms ska stoppa eller falla tillbaka när VPN:et fallerar, och testa det beteendet. Gatewayen tar inte bort det operativa arbetet; den koncentrerar det. Receptet för pfSense WireGuard-klienten täcker tunnelsidan på en vanlig plattform.