เราเตอร์ VPN: LAN และ WAN — สิ่งที่ควรบันทึกก่อนซื้อ

มองฉลากพร้อมใช้ VPN เป็นเพียงคุณสมบัติหนึ่งของอุปกรณ์ที่ต้องกำหนดเส้นทาง แบ่งส่วน และสลับเมื่อเกิดความล้มเหลวด้วย เพราะฉลากไม่ได้บอกว่าอุปกรณ์รองรับเครือข่ายแยกได้กี่เครือข่าย เริ่มด้วยการเขียนบันทึกความสามารถของรุ่นและเฟิร์มแวร์ที่แน่นอน แล้วนำบันทึกนั้นไปเทียบกับโฟลว์ที่หน้างานต้องการ หน้าเว็บการตลาดระบุจำนวนพอร์ต แต่แทบไม่ระบุการเป็นสมาชิก VLAN นโยบายสลับเมื่อล้มเหลว หรือขอบเขตของอุโมงค์ บันทึกนี้ใช้เวลาราวยี่สิบนาทีและช่วยตัดสินข้อโต้แย้งเรื่องการซื้อส่วนใหญ่ก่อนฮาร์ดแวร์จะมาถึง

กำหนดอุปกรณ์ที่แน่นอนก่อนสิ่งอื่นใด

ชื่อรุ่นเดินทางข้ามรุ่นเฟิร์มแวร์ และตัวเครื่องเดียวกันอาจมาพร้อมไดรเวอร์สวิตช์ที่ต่างกันตามรีลีส อ่านข้อมูลระบุตัวบอร์ดจากตัวอุปกรณ์เองไม่ใช่จากกล่อง เพื่อให้ทุกข้อกล่าวอ้างหลังจากนี้ผูกกับสิ่งที่ทำซ้ำได้ OpenWrt มีคำสั่งเดียวที่ครอบคลุมรุ่น ชื่อบอร์ด และรีลีสเฟิร์มแวร์ และหน้าจอเทียบเท่ามีอยู่ในเฟิร์มแวร์ธุรกิจส่วนใหญ่

ssh [email protected] 'ubus call system board'
cat /etc/openwrt_release

เขียนสตริงเหล่านั้นลงในบันทึก ห้ามย่อ แล้วแยกงานกำหนดเส้นทางปกติออกจากงานอุโมงค์ อุปกรณ์ที่ส่งต่อแพ็กเก็ตได้ดีอาจยังปฏิเสธที่จะสิ้นสุดอุโมงค์ และอุปกรณ์ที่สิ้นสุดอุโมงค์อาจไม่มีวิธีแยกเครือข่ายภายในสองเครือข่ายออกจากกัน หากถือทั้งสองเป็นข้อกำหนดเดียว ความไม่สอดคล้องจะถูกซ่อนไว้จนกว่าจะติดตั้งในแร็ก ตั้งค่า และเชื่อถือไปแล้วครึ่งหนึ่ง

บันทึกโครงสร้าง LAN ไม่ใช่จำนวนพอร์ต

สี่พอร์ตมักหมายถึงสวิตช์หนึ่งตัว และสวิตช์หมายถึงโดเมนออกอากาศหนึ่งโดเมนเว้นแต่จะตั้งค่า VLAN นั่นเหมาะกับเครือข่ายบ้านแบบแบนและผิดสำหรับไซต์ที่ต้องการเซกเมนต์แขก เซกเมนต์จัดการ และเซกเมนต์กล้องแยกบนอุปกรณ์เดียวกัน บันทึกว่าพอร์ตใดอยู่ใน VLAN ใด VLAN ใดไปถึงซีพียู และอินเทอร์เฟซใดมีที่อยู่

ที่เฟิร์มแวร์มี VLAN รายการอินเทอร์เฟซเป็นตัวกำหนดว่าจะเขียนนโยบายแยกได้กี่นโยบาย VLAN ที่กำหนดบนสวิตช์แต่ไม่เคยผูกเป็นอินเทอร์เฟซไม่มีที่อยู่และไม่มีโซนไฟร์วอลล์ จึงบังคับใช้สิ่งใดด้วยตัวเองไม่ได้

อ่านสถานะสวิตช์แทนการเชื่อถือเมนู บนเป้าหมาย OpenWrt รุ่นเก่า เครื่องมือสวิตช์พิมพ์อุปกรณ์ที่ตั้งค่าไว้ และบนเป้าหมาย DSA เครื่องมือบริดจ์รายงานข้อเท็จจริงเดียวกันต่อพอร์ต จึงต้องบันทึกรีลีสเฟิร์มแวร์ไว้ด้วย

บันทึกพฤติกรรมของ WAN และการสลับเมื่อล้มเหลว

วิธีเชื่อมต่อ ความเป็นเจ้าของที่อยู่ และลำดับการสลับเมื่อล้มเหลวควรอยู่ในบรรทัดเดียวต่ออัปลิงก์ เพราะอุโมงค์ที่อยู่รอดเมื่อ WAN เปลี่ยนขึ้นอยู่กับทั้งสามอย่าง เซสชัน PPPoE เชื่อมต่อใหม่ด้วยที่อยู่ใหม่และทำให้อุโมงค์หลุดไปด้วย ส่วนอัปลิงก์ DHCP ที่ยังคงสัญญาเช่าอาจไม่เป็นเช่นนั้น

การสลับเมื่อล้มเหลวต้องมีการตัดสินใจเชิงนโยบายด้วย การส่งทราฟฟิกทั้งหมดไปยังลิงก์สำรองเป็นเรื่องง่าย แต่การคงอุโมงค์ไว้บนลิงก์หลักขณะที่ทราฟฟิกเว็บปกติใช้ลิงก์สำรองต้องใช้การกำหนดเส้นทางตามนโยบาย และไม่ใช่ทุกเฟิร์มแวร์ที่ให้มา บันทึกว่าอุโมงค์ผูกกับอัปลิงก์เดียวหรือไม่ และอุปกรณ์ทำอะไรกับเซสชันที่สร้างไว้เมื่อลิงก์นั้นหายไป เก็บตารางเส้นทางเป็นหลักฐาน ไม่ใช่ช่องทำเครื่องหมายสลับเมื่อล้มเหลว

ทดสอบโฟลว์ที่อนุญาตหนึ่งรายการและที่ถูกปฏิเสธหนึ่งรายการ

บันทึกนี้คุ้มค่าที่จะเก็บก็ต่อเมื่อยอมรับอุปกรณ์ตามบันทึกได้ เลือกโฟลว์หนึ่งที่ต้องทำงานได้ หนึ่งที่ต้องไม่ได้ และรันทั้งคู่จากไคลเอนต์ในเซกเมนต์ที่เกี่ยวข้อง อุโมงค์ที่พาทุกซับเน็ตไปด้วยถือว่าล้มเหลวเมื่อข้อกำหนดคือซับเน็ตเดียว

จากนั้นยืนยันการปฏิเสธ เพราะค่าเริ่มต้นที่เปิดกว้างคือความประหลาดใจปกติ เซกเมนต์แขกต้องเข้าถึงที่อยู่จัดการไม่ได้ และการตรวจสอบควรแสดงการหมดเวลาหรือการปฏิเสธ ไม่ใช่หน้าเข้าสู่ระบบ

curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1

หากโฟลว์ที่อนุญาตทำงานและโฟลว์ที่ถูกปฏิเสธก็ทำงาน แสดงว่าขาดการแบ่งส่วนแม้เมนูจะบอกเป็นนัยตรงกันข้าม หากทั้งคู่ล้มเหลว ขอบเขตอุโมงค์หรือเส้นทางขากลับผิด และบันทึก WAN มักอธิบายว่าอย่างไหน เก็บบันทึกผลทั้งสองไว้กับบันทึกความสามารถ เพื่อให้ผู้ตรวจคนต่อไปเห็นว่ายอมรับอะไร บนเฟิร์มแวร์ใด และวันที่ใด