Ikalawang router bilang VPN gateway: ang hindi nito nilulutas

Ang paglalagay ng ikalawang router sa likod ng pangunahin ay isang malinis na paraan para bigyan ang ilang device ng ibang labasan. Ito rin ang lugar kung saan inaasahan ng mga tao ang higit na paghihiwalay kaysa ibinibigay ng device. Pinapanatili ng pangunahing network ang karaniwang landas nito, at sinusunod ng network sa ibaba ang patakaran ng ikalawang router. Ang nangyayari sa pagitan nila, at ang nangyayari kapag nabigo ang tunnel, ang bahaging karapat-dapat planuhin.

Gumagana ang setup. Ang mga mito ay tungkol sa kung ano ang pinoprotektahan nito. Kapaki-pakinabang pa rin itong disenyo; hindi lamang ito hangganan ng seguridad sa sarili nito.

Mito: inihihiwalay ng ikalawang router ang tunnel nang lubusan

Sinusunod ng mga device sa likod ng ikalawang gateway ang patakaran nito. Hindi namamana ng mga device sa pangunahing network ang tunnel na iyon, at iyon ang punto. Ngunit mayroon pa ring landas pataas ang ikalawang router sa pamamagitan ng una, at ang landas na iyon ay isang ugnayang kailangan mong pamahalaan.

Kailangan din ng ikalawang router ng profile ng kliyenteng VPN. Ang tampok na tumatanggap lamang ng papasok na koneksyon ng VPN ay hindi gumagawa ng palabas na tunnel patungo sa provider. Suriin ang suporta ng kliyente ng firmware bago bumili ng hardware.

Bigyan ang network sa ibaba ng subnet na hindi nagsasapawan. Ang pagkopya ng sample na saklaw nang hindi sinusuri ang mga umiiral na network ay isang maaasahang paraan upang lumikha ng palaisipan sa routing.

Mito: ang dobleng NAT ay encapsulation lamang ng VPN

Ang dalawang naka-route na gateway ay maaaring lumikha ng dobleng NAT, at iyon ay hiwalay sa sariling encapsulation ng VPN. Ang karaniwang palabas na trapiko ay karaniwang gumagana. Ang papasok na pag-access sa serbisyo ay nangangailangan ng sinadyang disenyo, kadalasan ng port forwarding sa dalawang device o ganap na ibang paraan.

Pinapahirap din ng dagdag na layer ng pagsasalin ang pagbasa ng mga log. Ang source address sa log ng pangunahing router ay maaaring pag-aari ng ikalawang router kaysa sa device na ini-debug mo. Sulit itong malaman bago mo habulin ang isang multong device.

Isulat ang plano ng address bago magsindi ng kahit ano.

Mito: tumatawid ang pagtuklas dahil maayos mag-browse ang dalawang LAN

Maaaring mag-browse sa internet ang dalawang network habang nabigo ang pagtuklas sa pagitan nila. Maaaring hindi mahanap ng telepono sa pangunahing Wi-Fi ang telebisyon sa likod ng VPN gateway, dahil hindi tumatawid ang multicast na pagtuklas sa isang naka-route na hangganan bilang default. Kung mahalaga iyon, kailangan mo ng reflector o ibang topolohiya. Ang tagumpay sa pag-browse ay hindi ebidensya ng lokal na pagtuklas.

Panatilihing maabot ang interface ng pamamahala ng ikalawang router mula sa awtorisadong landas nang hindi ito inilalathala sa WAN. I-save ang configuration ng dalawang gateway bago baguhin ang mga ruta.

Subukan ang DNS at IPv6 pati na ang nakikitang address ng labasan. Ang tunnel na nagdadala lamang ng IPv4 ay maaaring mag-leak ng kabilang pamilya. Isulat ang dalawang resulta sa talaan ng pagbabago.

Ano ang tunay na ibinibigay sa iyo ng ikalawang gateway

Ginagawa nitong nakikita ang saklaw. Maaari mong ituro ang isang device at sabihin kung aling network ang sumusunod sa tunnel, at pinapanatili ng sambahayan ang karaniwang landas nito. Sulit ang kalinawang iyon sa dagdag na hardware para sa maraming tahanan.

Ito ay isa pang device na kailangang panatilihin, may mga kredensyal, firmware at proseso ng pagbawi. Magpasya kung ang mga device sa ibaba ay dapat huminto o bumalik kapag nabigo ang VPN, at subukan ang gawi na iyon. Hindi inaalis ng gateway ang operasyonal na trabaho; pinagsasama-sama ito. Sinasaklaw ng recipe ng kliyenteng pfSense WireGuard ang panig ng tunnel sa isang karaniwang plataporma.