ரவுட்டரில் VPN பெரெய்லோவர் கொள்கையை கசிவு இல்லாமல் உருவாக்குவது எப்படி
விருப்பமான சுரங்கப்பாதை விழும்போது போக்குவரத்து என்ன செய்ய வேண்டும் என்பதை முடிவு செய்யுங்கள்: காப்பு சுரங்கப்பாதை, சாதாரண WAN அல்லது தடுப்பு. பின்னர் அதை ரவுட்டரில் கட்டி சோதிக்கவும்.
பெரெய்லோவர் அமைக்கப்பட்டபடியே சரியாக வேலை செய்தது, அதுதான் பிரச்சினை. முதன்மை சுரங்கப்பாதை விழுந்தபோது, ரவுட்டர் இயல்புநிலை வழியை கேபிள் மோடமுக்கு மாற்றியது, மடிக்கணினிகள் தொடர்ந்து உலாவின, யாரும் தொலைபேசவில்லை. இரண்டு நாட்களுக்குப் பிறகு நிதிப் பங்கு ஆறு மணி நேரம் திறந்த இணைய வழியாக அணுகக்கூடியதாக இருந்ததை யாரோ கவனித்தனர். ரவுட்டரில் VPN பெரெய்லோவர் கொள்கை என்பது ஒரு வழித்தட தந்திரம் அல்ல; விருப்பமான வழி போகும்போது போக்குவரத்து என்ன செய்ய வேண்டும் என்பதற்கான முடிவு, அந்த முடிவு வழி மறைவதற்கு முன்பே இருக்க வேண்டும்.
கண்டறிவியைத் தேர்ந்தெடுப்பதற்கு முன் முடிவைத் தீர்மானியுங்கள்
பொதுவாக மேசையில் மூன்று முடிவுகள் உள்ளன: பாதிக்கப்பட்ட கிளையண்டுகளை காப்பு சுரங்கப்பாதை வழியாக அனுப்புவது, சாதாரண WAN பயன்படுத்த அனுமதிப்பது, அல்லது முழுவதுமாக தடுப்பது. எந்த VLAN, SSID அல்லது சாதன வகைக்கு எது பொருந்துகிறது என்பதை எழுதுங்கள். ஒரே தட்டையான «WAN க்கு மாறு» விதிதான் மேலே உள்ள நிதிப் பங்கு பொது வழிக்குச் செல்ல காரணமாயிற்று.
இந்த மூன்றும் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல. WAN க்குத் திரும்புவது ஆதரவு மேசை தொலைபேசிகளுக்குப் பதிலளிக்க உதவுகிறது ஆனால் உள்ளக பெயர்களை உள்ளூர் தீர்வியில் வெளிப்படுத்துகிறது. காப்பு சுரங்கப்பாதை கொள்கையைப் பாதுகாக்கிறது ஆனால் எதிர்ப்பக்கம் ஏற்காத வெளியேறும் முகவரியில் இறங்கலாம். ஊதிய VLAN க்கு தடுப்பு சரியானது, சுரங்கப்பாதையை ஒருபோதும் பயன்படுத்தாத விருந்தினர் வலையமைப்புக்கு தவறானது.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
நீங்கள் உண்மையில் பயப்படும் தோல்விக்கு கண்டறிவியைப் பொருத்துங்கள்
கைக்குலுக்கல் நிலை, இடைமுக நிலை மற்றும் பயன்படுத்தக்கூடிய அனுப்புதல் ஆகியவை மூன்று வெவ்வேறு சமிக்ஞைகள், பயனருக்கு கடைசியானது மட்டுமே முக்கியம். வழங்குநரின் மேல்நிலை பாக்கெட்டுகளை தூக்கி எறியும்போது WireGuard சகர் சமீபத்திய கைக்குலுக்கலைக் காட்டலாம். தான் தள்ளிய வழி தீர்க்கப்படுவதை நிறுத்திய பிறகும் OpenVPN கிளையண்ட் «இணைக்கப்பட்டது» நிலையில் இருக்கலாம்.
pfSense இல் நடைமுறை ஏற்பாடு dpinger ஆல் இயக்கப்படும் நுழைவாயில் குழு, இது கண்காணிப்பு முகவரியை ஆராய்ந்து இழப்பு அல்லது தாமதம் அதன் வரம்புகளை மீறும்போது நுழைவாயிலை செயலிழந்ததாகக் குறிக்கிறது. அந்தக் கண்காணிப்பை சுரங்கப்பாதைக்கு அப்பால் ஒன்றை நோக்கி திருப்புங்கள், தொலை LAN இல் உள்ள ஹோஸ்ட் அல்லது அதன் வழியாக அடையும் பொது முகவரி போல. அதை சுரங்கப்பாதையின் சொந்த சகர் முகவரிக்கு திருப்புவது ஏற்கனவே உயிருடன் இருப்பதாக உங்களுக்குத் தெரிந்த பகுதியை அளவிடுகிறது.
காப்பு கடைசி வழியாகவே இருக்கும்படி குழுவை உருவாக்குங்கள்
ஒரே தட்டையான உறுப்பினர் பட்டியலுக்குப் பதிலாக அடுக்குகளைப் பயன்படுத்துங்கள். முதன்மையானது அடுக்கு 1 இல், காப்பு சுரங்கப்பாதை அடுக்கு 2 இல், WAN அடுக்கு 3 இல் கொள்கை அனுமதிக்கும் VLAN களுக்கு மட்டும். pfSense இல் இது System > Routing > Gateway Groups இல் உள்ளது: இரண்டு நுழைவாயில்களையும் சேர்க்கவும், வெவ்வேறு அடுக்குகள் கொடுக்கவும், Trigger Level ஐ உறுப்பினர் செயலிழப்பு மற்றும் பாக்கெட் இழப்பு என அமைக்கவும், சேமித்து, பின்னர் குழுவை இடைமுக இயல்புநிலையாக அல்லது தேவைப்படும் ஃபயர்வால் விதிகளின் Gateway புலத்தில் பயன்படுத்தவும்.
pfSense 2.5 மற்றும் அதற்குப் பிறகு OpenVPN கிளையண்ட் நிகழ்வுக்கு, நிகழ்வின் Default Gateway அமைப்பு சுரங்கப்பாதை கணினி இயல்புநிலை வழியை மாற்றுகிறதா என்பதை தீர்மானிக்கிறது. விதி அடிப்படையிலான வழித்தடம் நீங்கள் கருதும் வழி உண்மையில் நிறுவப்பட்டிருக்கும்போது மட்டுமே நீங்கள் எதிர்பார்த்தபடி நடந்துகொள்ளும். மாற்றத்திற்குப் பிறகு சுரங்கப்பாதை நிலை ஐகானை நம்புவதற்குப் பதிலாக Status > Gateways ஐ சரிபார்க்கவும்.
இரண்டு அமைப்புகள் பெரும்பாலான அலைவுக்குக் காரணம். ஒன்று வழங்குநரின் சொந்த மறுஒருங்கிணைப்பை விடக் குறுகிய ஆய்வு இடைவெளி. மற்றொன்று முதன்மை மற்றும் காப்பு ஒரே அடுக்கைப் பகிரும் குழு, எனவே இரண்டும் எப்போதும் தகுதியுடன் இருக்கும். பயனர்கள் மாற்றங்களை உங்களுக்காக உணர்வதற்கு முன் இழப்பு மற்றும் தாமத வரம்புகள் வழியாக ஹிஸ்டரிசிஸ் சேர்க்கவும்.
சுரங்கப்பாதை ஒருபோதும் வைத்திராத வழிகளை மூடுங்கள்
முதலில் DNS கசிவுகள். தீர்வி WAN இல் பதிலளிப்பதையும் அதன் வழியாக அனுப்புவதையும் தொடர்கிறது, எனவே போக்குவரத்து சுரங்கப்பாதையில் பொருத்தப்பட்டிருந்தாலும் பெயர்கள் ISP வழியாகத் தீர்க்கப்படுகின்றன. தீர்வியின் வெளிச்செல் இடைமுகங்களைக் கட்டுப்படுத்துங்கள், உள்ளக தீர்வியை கிளையண்டுகளுக்குத் தள்ளுங்கள், VPN மட்டும் VLAN களில் மற்ற அனைத்திற்கும் போர்ட் 53 ஐத் தடுங்கள்.
IPv6 க்கு அதன் சொந்த முடிவு தேவை. இரட்டை அடுக்கு LAN சுரங்கப்பாதையை இழந்து செயல்படும் உலகளாவிய IPv6 இயல்புநிலை வழியை வைத்திருக்கலாம், எனவே உலாவிகள் IPv6 ஐ விரும்பி WAN வழியாக வெளியேறும் அதே வேளை IPv4 முழுமையாக அடங்கியதாகத் தெரிகிறது. ஒன்று IPv6 ஐ சுரங்கப்பாதைக்குள் வழித்தடம் செய்யுங்கள் அல்லது சுரங்கப்பாதை கீழே இருக்கும்போது உலகளாவிய முன்னொட்டை விளம்பரப்படுத்துவதை நிறுத்துங்கள். பாதி கொள்கை எதுவும் இல்லாததை விட மோசம், ஏனெனில் அது வேலை செய்வது போலத் தெரிகிறது.
பின்னர் திரும்பும் வழி. காப்பு வெளியேற்றம் வேறு மூல முகவரியைப் பயன்படுத்தினால், எதிர்ப்பக்கம் போக்குவரத்தை அதற்கு எப்படித் திருப்பி அனுப்புவது என்பதை அறிய வேண்டும், பழைய முகவரியுடன் இணைக்கப்பட்ட ஒவ்வொரு நிலையும் ஏற்கனவே இறந்துவிட்டது. முதன்மை விழுந்தபோது திறந்த அமர்வுகள் இடம்பெயர்வதில்லை; அவை காலாவதியாகி பயன்பாடு என்ன செய்வது என்று முடிவெடுக்கும் வரை நிற்கின்றன.
விழுதல், அலைவு மற்றும் திரும்பி வரும் வழியைச் சோதியுங்கள்
தீங்கற்ற போக்குவரத்து ஓடிக்கொண்டிருக்கும்போது முதன்மையை இழுக்கவும், பின்னர் நான்கு விஷயங்களைப் படியுங்கள்: குழு உறுப்பினர் நிலைகளுக்கு Status > Gateways, பழைய நுழைவாயிலில் இன்னும் பொருத்தப்பட்ட நிலைகளுக்கு pfctl -ss, வெளியேறும் வழிக்கு கிளையண்டிலிருந்து traceroute, எந்த சேவையகம் பதிலளித்தது என்பதைப் பார்க்க தீர்வி வினவல்.
இப்போது அதை அலையவிடுங்கள். முதன்மையை முப்பது வினாடிகள் மேலே, முப்பது கீழே, இரண்டு முறை. போக்குவரத்து ஒவ்வொரு மாற்றத்தையும் துரத்தினால், வரம்புகள் மிக இறுக்கமாக உள்ளன அல்லது அடுக்குகள் தவறு. அதை உங்கள் அட்டவணையில் சரிசெய்யுங்கள், இல்லையெனில் வழங்குநர் அதை அவர்களுடையதில் செய்வார்.
கடைசியாக, ரவுட்டரை இன்னும் நிர்வகிக்க முடியுமா என்பதை உறுதிப்படுத்துங்கள். கன்சோல் கேபிள், நிர்வாக VLAN அல்லது செல்லுலார் மோடம் போன்ற பட்டைக்கு வெளியேயான வழியை வைத்திருங்கள். உங்களை வெளியே பூட்டும் பெரெய்லோவர் சோதனை நீங்கள் முடிக்க முடியாத சோதனை, அணுக முடியாத ரவுட்டர் தானாகத் திரும்ப முடியாது.
கொள்கையை முடிந்ததாக அறிவிப்பதற்கு முன், முனையத்தைத் திறக்காமல் நான்கு கேள்விகளுக்குப் பதிலளிக்க முடிய வேண்டும்: சுரங்கப்பாதை கீழே இருக்கும்போது எந்த VLAN கள் WAN பயன்படுத்தலாம், கண்டறிவி எதைக் கண்காணிக்கிறது மற்றும் எவ்வளவு காத்திருக்கிறது, எந்த பெயர் சேவையகங்களும் IPv6 வழித்தடங்களும் வழியுடன் நகர்கின்றன, காப்பும் தோல்வியடைந்தால் எப்படி மீண்டும் உள்ளே வருவீர்கள். ஏதேனும் பதில் «இயல்புநிலை என்னவோ அது» என்றால், கொள்கை இன்னும் ரவுட்டருக்கே சொந்தம், உங்களுக்கு அல்ல.