เราเตอร์ตัวที่สองเป็นเกตเวย์ VPN: สิ่งที่มันไม่ได้แก้

การวางเราเตอร์ตัวที่สองไว้หลังตัวหลักเป็นวิธีที่สะอาดในการให้อุปกรณ์บางตัวออกทางอื่น มันยังเป็นจุดที่ผู้คนคาดหวังการแยกวงมากกว่าที่อุปกรณ์ให้ได้ เครือข่ายหลักยังคงเส้นทางปกติ และเครือข่ายปลายทางก็ทำตามนโยบายของเราเตอร์ตัวที่สอง สิ่งที่เกิดขึ้นระหว่างทั้งสอง และสิ่งที่เกิดขึ้นเมื่ออุโมงค์ล้ม คือส่วนที่ควรวางแผน

การตั้งค่านี้ทำงานได้ ตำนานเป็นเรื่องของสิ่งที่มันปกป้อง มันยังเป็นการออกแบบที่มีประโยชน์ แต่เพียงลำพังมันไม่ใช่เส้นแบ่งความปลอดภัย

ตำนาน: เราเตอร์ตัวที่สองแยกอุโมงค์ออกจากกันอย่างสมบูรณ์

อุปกรณ์ที่อยู่หลังเกตเวย์ตัวที่สองทำตามนโยบายของมัน อุปกรณ์บนเครือข่ายหลักไม่ได้รับอุโมงค์นั้นสืบทอดมา และนั่นคือประเด็น แต่เราเตอร์ตัวที่สองยังมีเส้นทางขึ้นผ่านตัวแรก และเส้นทางนั้นคือความสัมพันธ์ที่คุณต้องจัดการ

เราเตอร์ตัวที่สองยังต้องมีโปรไฟล์ไคลเอนต์ VPN ฟีเจอร์ที่รับเฉพาะการเชื่อมต่อ VPN ขาเข้า ไม่ได้สร้างอุโมงค์ขาออกไปยังผู้ให้บริการ ตรวจสอบการรองรับไคลเอนต์ของเฟิร์มแวร์ก่อนซื้อฮาร์ดแวร์

ให้เครือข่ายปลายทางมีซับเน็ตที่ไม่ทับซ้อน การคัดลอกช่วงตัวอย่างโดยไม่ตรวจสอบเครือข่ายที่มีอยู่เป็นวิธีที่แน่นอนในการสร้างปริศนาการกำหนดเส้นทาง

ตำนาน: NAT ซ้อนเป็นเพียงการห่อหุ้มของ VPN

เกตเวย์ที่กำหนดเส้นทางสองตัวสามารถสร้าง NAT ซ้อนได้ และนั่นแยกจากการห่อหุ้มของ VPN เอง การรับส่งขาออกปกติมักทำงานได้ การเข้าถึงบริการขาเข้าต้องออกแบบอย่างตั้งใจ มักเป็นการส่งต่อพอร์ตบนอุปกรณ์ทั้งสอง หรือแนวทางที่ต่างออกไปโดยสิ้นเชิง

ชั้นแปลเพิ่มเติมยังทำให้อ่านบันทึกได้ยากขึ้น ที่อยู่ต้นทางในบันทึกของเราเตอร์หลักอาจเป็นของเราเตอร์ตัวที่สอง ไม่ใช่อุปกรณ์ที่คุณกำลังดีบัก ควรรู้ไว้ก่อนไล่ล่าอุปกรณ์ผี

เขียนแผนที่อยู่ก่อนเปิดอะไรก็ตาม

ตำนาน: การค้นหาผ่านได้เพราะ LAN ทั้งสองเรียกดูได้ดี

ทั้งสองเครือข่ายเรียกดูอินเทอร์เน็ตได้ในขณะที่การค้นหาระหว่างกันล้มเหลว โทรศัพท์บน Wi-Fi หลักอาจหาโทรทัศน์หลังเกตเวย์ VPN ไม่เจอ เพราะการค้นหาแบบมัลติแคสต์ไม่ข้ามพรมแดนที่กำหนดเส้นทางตามค่าเริ่มต้น หากสิ่งนั้นสำคัญ คุณต้องมีตัวสะท้อนหรือโครงสร้างเครือข่ายอื่น ความสำเร็จในการเรียกดูไม่ใช่หลักฐานของการค้นหาในวง

เก็บอินเทอร์เฟซการจัดการของเราเตอร์ตัวที่สองให้เข้าถึงได้จากเส้นทางที่ได้รับอนุญาตโดยไม่เผยแพร่บน WAN บันทึกการกำหนดค่าของทั้งสองเกตเวย์ก่อนเปลี่ยนเส้นทาง

ทดสอบ DNS และ IPv6 รวมถึงที่อยู่ขาออกที่มองเห็นได้ อุโมงค์ที่พาเฉพาะ IPv4 อาจรั่วตระกูลที่เหลือ เขียนผลลัพธ์ทั้งสองลงในบันทึกการเปลี่ยนแปลง

เกตเวย์ตัวที่สองให้อะไรคุณจริง ๆ

มันทำให้ขอบเขตมองเห็นได้ คุณชี้ไปที่อุปกรณ์หนึ่งและบอกได้ว่าเครือข่ายใดทำตามอุโมงค์ และครัวเรือนยังคงเส้นทางปกติ ความชัดเจนนั้นคุ้มค่าฮาร์ดแวร์เพิ่มสำหรับหลายบ้าน

มันยังเป็นอุปกรณ์อีกเครื่องที่ต้องดูแล มีข้อมูลรับรอง เฟิร์มแวร์ และกระบวนการกู้คืน ตัดสินใจว่าอุปกรณ์ปลายทาง ควรหยุดหรือถอยกลับเมื่อ VPN ล้ม และทดสอบพฤติกรรมนั้น เกตเวย์ไม่ได้ขจัดงานปฏิบัติการ แต่ทำให้รวมศูนย์ สูตรไคลเอนต์ pfSense WireGuard ครอบคลุมฝั่งอุโมงค์บนแพลตฟอร์มทั่วไปหนึ่งแห่ง