Ongeza VPN ya tovuti kando ya router ya ISP bila kukatiza simu

Sehemu nyingi ndogo tayari zina kifaa kimoja kinachofanya intaneti, DHCP na laini ya sauti, na kifaa hicho hakitafanya handaki ya tovuti yako. Kuongeza lango la pili kwa njia ya faragha hufanya kazi ikiwa utaamua nani anamiliki kila njia kabla ya kugusa kebo. Hatari halisi si handaki; ni kubadilisha kwa utulivu kifaa kinachoweka simu zilizosajiliwa. Fanya ukaguzi watano kwa mpangilio na usimame pale mmoja unaposhindwa.

Andika majukumu yanayofanya kazi tayari

Rekodi lango la msingi, seva ya DHCP, kitatuzi cha majina na kifaa kilicho na usajili wa sauti wa mtoa huduma. Katika mfano huu router ya ISP ni 10.50.0.1, lango jipya litakuwa 10.50.0.2, na tovuti ya mbali ni 10.60.0.0/24. Hakuna chochote katika mpango huo kinachobadilisha majukumu matatu ya kwanza, na hilo ndilo jambo la msingi. Kisha hakikisha kuwa kifaa cha pili kinaweza kweli kumaliza handaki: angalia itifaki, kasi inayotarajiwa na kama kinapata masasisho ya firmware au kifurushi. Kifaa chenye nembo ya VPN na hakina njia ya masasisho ni mzigo, si nyongeza.

Ikiwa hukuweza kusema huduma ya sauti ni ya nani, simama. Kubadilisha router iliyo na usajili bila mpango wa kurudi kunageuza mradi wa VPN kuwa kukatika kwa simu.

Mpe lango jipya anwani moja na kazi moja

Tenga anwani yake ya LAN nje ya dimbwi la DHCP ili isisogee baada ya kuwasha upya, na usilipe njia ya msingi yake mwenyewe isipokuwa unataka liwe njia ya intaneti. Kazi yake ni kushikilia handaki na kujibu kwa viambishi vya mbali. Kwenye wenyeji wa LAN wanaopaswa kufikia tovuti ya mbali, thibitisha njia wanayotumia sasa na ipi unataka baada ya mabadiliko; amri mbili zilezile kabla na baada ni ushahidi wa bei nafuu.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Ikiwa utafutaji unarudisha router ya ISP na traceroute inakufa kwenye ukingo wa intaneti, mwenyeji hana njia ya mbali bado, jambo linalotarajiwa. Ikiwa unarudisha kitu kisichotarajiwa, tatua hilo kwanza, kwa sababu kila hatua inayofuata inachukulia msingi huu.

Chagua nani anamiliki njia ya kiambishi cha mbali

Chaguo A ni router ya ISP: inashikilia njia tuli ya 10.60.0.0/24 kuelekea lango, na kila mwenyeji anafuata lango lake la msingi kama zamani. Chaguo B ni kwa kila mwenyeji: mashine zinazohitaji tovuti ya mbali pekee ndizo zinapata njia wazi kupitia 10.50.0.2, na mengine yote yanabaki bila kuguswa. A ni safi kwa wenyeji wengi, lakini kwa kawaida huhitaji router ya mtoa huduma ikubali njia tuli, jambo ambao wengine hawafanyi. B haihitaji ushirikiano wa mtoa huduma lakini inakuachia matengenezo ya usanidi wa wenyeji, kwa hiyo inafaa kundi dogo la mashine zilizoidhinishwa.

Katika hali zote mbili mwelekeo wa kurudi lazima uwepo. Ikiwa jibu la mbali linafika kwenye lango na lango linasambaza moja kwa moja kwa mwenyeji wa LAN, trafiki inaruka hali ya firewall ambayo router ya ISP ilikuwa ikishikilia kwenye njia ya kutoka. Wakati lango si router ya msingi ya LAN, usawa huo ni uamuzi wa usanifu, si hitilafu inayoweza kupuuzwa.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Fanya kiingilio kuwa cha kudumu kupitia mmiliki wa usanidi wa mwenyeji, si kupitia script ya kuingia. Njia inayopatikana tu baada ya mtu kuingia itashindwa mara ya kwanza mashine inapowashwa upya kwa sababu isiyohusiana.

Andaa mahali pa kuingia panapoweza kufikiwa

Lango linahitaji anwani ambayo tovuti ya mbali inaweza kufikia. Nyuma ya router ya ISP hiyo inamaanisha uelekezaji wa bandari au kiingilio cha DMZ, na zote mbili zinategemea mtoa huduma kuwasilisha trafiki kweli. Uelekezaji wa ndani hauwezi kushinda NAT ya ngazi ya mtoa huduma upande wa mtoa huduma. Ikiwa mtoa huduma haitoi mahali panapoweza kufikiwa, geuza mwelekeo: acha tovuti zote mbili zianze kuelekea kitovu unachodhibiti. Hiyo ni muundo halali, lakini inaongeza utegemezi wa tatu kwa uelekezaji, uaminifu na upatikanaji, na DNS inayobadilika haibadilishi hilo.

Thibitisha uelekezaji kwa kunasa kwenye lango, si kwa tovuti inayochunguza bandari. Vichunguzi huripoti bandari imefungwa hadi msikilizaji afungwe, na uelekezaji ambao haujawahi kuwasilisha trafiki huonekana kama bandari iliyofungwa kwa mtazamaji wa nje.

Kubali huduma ya faragha na laini ya sauti pamoja

Jaribu utendaji unaokusudiwa kutoka kwa mwenyeji wa LAN, ukiwa na DNS ya faragha na vitambulisho vya programu yenyewe. Handaki yenye njia haifanyi kuvinjari kwa mbali kufanane na sehemu ya Ethernet ya ndani, kwa hiyo ugunduzi na utatuzi wa majina unahitaji mipango yake.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Kisha thibitisha kuwa ufikiaji wa kawaida wa intaneti bado unafanya kazi kutoka kwa mwenyeji huyo huyo na simu bado zimesajiliwa; ukaguzi huo mbili hunasa mabadiliko ya bahati nasibu kwenye njia ya msingi, njia ya kawaida zaidi ambayo mradi huu huvunja kitu ambacho hakukusudia kugusa. Maliza na noti ya urejeshaji iliyoandikwa: kifaa kipi kina jukumu gani, anwani zilizotengwa, na jinsi ya kuondoa njia ya kiambishi cha mbali kwa hatua moja. Njia ya faragha inayoweza kuvutwa nyuma kwa usafi ina thamani zaidi kuliko ile inayofanya kazi leo pekee.