เพิ่ม VPN ของไซต์ข้างเราเตอร์ ISP โดยไม่ตัดสายเรียก

ไซต์เล็กส่วนใหญ่มีอุปกรณ์หนึ่งเครื่องที่ทำอินเทอร์เน็ต DHCP และสายเสียงอยู่แล้ว และอุปกรณ์นั้นจะไม่วิ่งทันเนลของไซต์คุณ การเพิ่มเกตเวย์ตัวที่สองสำหรับเส้นทางส่วนตัวได้ผล หากคุณตัดสินใจว่าใครเป็นเจ้าของเส้นทางใดก่อนจะแตะสายเคเบิล ความเสี่ยงจริงไม่ใช่ทันเนล แต่คือการเปลี่ยนอุปกรณ์ที่ทำให้โทรศัพท์ยังลงทะเบียนอยู่โดยไม่มีใครสังเกต ทำห้าข้อตรวจตามลำดับและหยุดตรงข้อที่ล้มเหลว

จดบันทึกบทบาทที่ทำงานอยู่แล้ว

บันทึกเกตเวย์เริ่มต้น เซิร์ฟเวอร์ DHCP ตัวแปลงชื่อ และอุปกรณ์ที่มีการลงทะเบียนเสียงของผู้ให้บริการ ในตัวอย่างนี้เราเตอร์ ISP คือ 10.50.0.1 เกตเวย์ใหม่จะอยู่ที่ 10.50.0.2 และไซต์ระยะไกลคือ 10.60.0.0/24 ไม่มีสิ่งใดในแผนนั้นเปลี่ยนสามบทบาทแรก และนั่นคือประเด็น จากนั้นยืนยันว่าอุปกรณ์ตัวที่สองสามารถปิดทันเนลได้จริง: ดูที่โปรโตคอล อัตราการส่งที่คาดหวัง และว่าได้รับอัปเดตเฟิร์มแวร์หรือแพ็กเกจหรือไม่ อุปกรณ์ที่มีโลโก้ VPN แต่ไม่มีช่องทางอัปเดตเป็นภาระ ไม่ใช่ส่วนเพิ่ม

หากบอกไม่ได้ว่าบริการเสียงเป็นของใคร ให้หยุด การเปลี่ยนเราเตอร์ที่มีการลงทะเบียนโดยไม่มีแผนย้อนกลับทำให้โครงการ VPN กลายเป็นการขาดสายโทรศัพท์

ให้เกตเวย์ใหม่หนึ่งที่อยู่และหนึ่งงาน

จองที่อยู่ LAN ของมันนอกพูล DHCP เพื่อไม่ให้ขยับหลังรีบูต และอย่าให้เส้นทางเริ่มต้นของตัวเอง เว้นแต่ต้องการให้มันเป็นเส้นทางอินเทอร์เน็ต หน้าที่ของมันคือถือทันเนลและตอบแทนพรีฟิกซ์ระยะไกล บนโฮสต์ LAN ที่ต้องไปถึงไซต์ระยะไกล ให้พิสูจน์ว่าใช้เส้นทางใดอยู่ตอนนี้และต้องการเส้นทางใดหลังการเปลี่ยนแปลง คำสั่งสองคำสั่งเดิมก่อนและหลังคือหลักฐานที่ถูกที่สุด

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

หากการค้นหาคืนเราเตอร์ ISP และ traceroute ตายที่ขอบอินเทอร์เน็ต แสดงว่าโฮสต์ยังไม่มีเส้นทางระยะไกล ซึ่งเป็นสิ่งที่คาดไว้ หากคืนสิ่งที่ไม่คาดคิด ให้แก้สิ่งนั้นก่อน เพราะทุกขั้นตอนถัดไปถือว่ามีพื้นฐานนี้

เลือกว่าใครเป็นเจ้าของเส้นทางพรีฟิกซ์ระยะไกล

ตัวเลือก A คือเราเตอร์ ISP: ถือเส้นทางคงที่สำหรับ 10.60.0.0/24 ไปยังเกตเวย์ และทุกโฮสต์ตามเกตเวย์เริ่มต้นของตนเหมือนเดิม ตัวเลือก B คือรายโฮสต์: เฉพาะเครื่องที่ต้องใช้ไซต์ระยะไกลได้รับเส้นทางชัดเจนผ่าน 10.50.0.2 ส่วนที่เหลือไม่ถูกแตะ A สะอาดกว่าสำหรับหลายโฮสต์ แต่โดยปกติต้องให้เราเตอร์ของผู้ให้บริการยอมรับเส้นทางคงที่ ซึ่งบางรายไม่ทำ B ไม่ต้องอาศัยความร่วมมือจากผู้ให้บริการ แต่ปล่อยให้คุณดูแลการตั้งค่าโฮสต์ จึงเหมาะกับชุดเครื่องที่ได้รับอนุมัติจำนวนน้อย

ทั้งสองกรณีต้องมีทิศทางขากลับ หากคำตอบระยะไกลมาถึงเกตเวย์และเกตเวย์ส่งต่อไปยังโฮสต์ LAN โดยตรง การจราจรจะข้ามสถานะไฟร์วอลล์ที่เราเตอร์ ISP ถือไว้บนเส้นทางขาออก เมื่อเกตเวย์ไม่ใช่เราเตอร์เริ่มต้นของ LAN ความไม่สมมาตรนั้นเป็นการตัดสินใจออกแบบ ไม่ใช่ข้อบกพร่องที่มองข้ามได้

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

ทำให้รายการถาวรผ่านเจ้าของการตั้งค่าโฮสต์ ไม่ใช่สคริปต์ล็อกอิน เส้นทางที่มีอยู่เฉพาะหลังมีคนล็อกอินจะล้มเหลวครั้งแรกที่เครื่องรีบูตด้วยเหตุที่ไม่เกี่ยวข้อง

เตรียมจุดเข้าที่เข้าถึงได้

เกตเวย์ต้องการที่อยู่ที่ไซต์ระยะไกลเข้าถึงได้ หลังเราเตอร์ ISP นั่นหมายถึงการส่งต่อพอร์ตหรือรายการ DMZ และทั้งสองขึ้นกับว่าผู้ให้บริการส่งการจราจรมาจริงหรือไม่ การส่งต่อภายในไม่สามารถเอาชนะ NAT ระดับผู้ให้บริการได้ หากผู้ให้บริการไม่ให้จุดที่เข้าถึงได้ ให้กลับทิศทาง: ให้ทั้งสองไซต์เริ่มต่อไปยังฮับที่คุณควบคุม เป็นการออกแบบที่ใช้ได้ แต่เพิ่มการพึ่งพาที่สามสำหรับการส่งต่อ ความไว้วางใจ และความพร้อมใช้งาน และ DNS แบบไดนามิกไม่สามารถแทนได้

ยืนยันการส่งต่อด้วยการดักจับที่เกตเวย์ ไม่ใช่เว็บไซต์ที่สแกนพอร์ต ตัวสแกนจะรายงานว่าพอร์ตปิดจนกว่าตัวรับฟังจะผูก และการส่งต่อที่ไม่เคยส่งการจราจรดูจากภายนอกเหมือนพอร์ตที่ปิด

ยอมรับบริการส่วนตัวและสายเสียงไปพร้อมกัน

ทดสอบการทำงานที่ตั้งใจจากโฮสต์ LAN ด้วย DNS ส่วนตัวและข้อมูลรับรองของแอปพลิเคชันเอง ทันเนลที่มีเส้นทางไม่ได้ทำให้การท่องเว็บระยะไกลดูเหมือนอีเทอร์เน็ตเซกเมนต์ในพื้นที่ การค้นพบและการแปลงชื่อจึงต้องมีข้อตกลงของตัวเอง

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

จากนั้นยืนยันว่าการเข้าถึงอินเทอร์เน็ตปกติยังทำงานจากโฮสต์เดียวกันและโทรศัพท์ยังลงทะเบียนอยู่ สองข้อตรวจนี้จับการเปลี่ยนเส้นทางเริ่มต้นโดยไม่ตั้งใจ ซึ่งเป็นวิธีที่พบบ่อยที่สุดที่โครงการนี้ทำให้สิ่งที่ไม่ได้ตั้งใจแตะต้องเสียหาย ปิดท้ายด้วยบันทึกการกู้คืนเป็นลายลักษณ์อักษร: อุปกรณ์ใดมีบทบาทใด ที่อยู่ที่จองไว้ และวิธีถอดเส้นทางพรีฟิกซ์ระยะไกลในขั้นตอนเดียว เส้นทางส่วนตัวที่ถอนคืนได้สะอาดมีค่ามากกว่าเส้นทางที่ใช้ได้แค่วันนี้