VPN router: LAN at WAN — ano ang itatala bago bumili
Walang sinasabi ang label ng VPN tungkol sa VLAN, paglipat kapag nabigo ang WAN, o mga tungkulin ng tunnel. Itala ang eksaktong kakayahan ng modelong at firmware na balak mong gamitin.
Tratuhin ang label na handa-sa-VPN bilang isang katangian ng isang aparatong kailangan ding mag-ruta, maghati at lumipat kapag may pagpalya, dahil walang sinasabi ang label tungkol sa kung ilang hiwalay na network ang kaya nitong hawakan. Magsimula sa pagsulat ng talaan ng kakayahan para sa eksaktong modelo at firmware, pagkatapos ihambing ang talaang iyon sa mga daloy na kailangan ng site. Naglilista ang mga pahina ng marketing ng mga socket; bihira nilang ilista ang pagiging miyembro sa VLAN, patakaran sa paglipat kapag nabigo o saklaw ng tunnel. Tinatayang dalawampung minuto ang talaan at inaayos nito ang karamihan ng pagtatalo sa pagbili bago dumating ang hardware.
Itakda ang eksaktong aparato bago ang lahat
Nagbibiyahe ang mga pangalan ng modelo sa mga henerasyon ng firmware, at ang parehong pambalot ay maaaring ipadala kasama ng ibang driver ng switch depende sa release. Basahin ang pagkakakilanlan ng board mula sa aparato mismo at hindi mula sa karton, upang ang bawat susunod na pahayag ay nakatali sa isang bagay na kaya mong ulitin. Isang utos ang sumasaklaw sa modelo, pangalan ng board at release ng firmware sa OpenWrt, at ang mga katumbas na screen ay umiiral sa karamihan ng business firmware.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseIsulat ang mga string na iyon sa talaan, huwag kailanman paikliin. Pagkatapos ay ihiwalay ang ordinaryong gawain sa pag-ruta mula sa gawain sa tunnel. Ang aparatong mahusay magpadala ng packet ay maaari pa ring tumangging tapusin ang isang tunnel, at ang aparatong nagtatapos ng tunnel ay maaaring walang paraan upang panatilihing hiwalay ang dalawang lokal na network. Kung ituturing na isang kinakailangan ang dalawa, nagtatago ang diperensya hanggang sa ang unit ay naikabit na sa rack, na-configure at kalahating pinagkakatiwalaan.
Itala ang istruktura ng LAN, hindi ang bilang ng port
Ang apat na socket ay karaniwang nangangahulugang isang switch, at ang switch ay nangangahulugang isang broadcast domain maliban kung may naka-configure na VLAN. Mabuti iyon para sa patag na home network at mali para sa isang site na gustong magkaroon ng guest segment, management segment at hiwalay na camera segment sa parehong aparato. Itala kung aling mga port ang kabilang sa aling VLAN, aling mga VLAN ang umaabot sa CPU at aling mga interface ang may address.
Kung saan nag-aalok ng VLAN ang firmware, ang listahan ng interface ang nagtatakda kung ilang magkaibang patakaran ang maisusulat mo. Ang VLAN na tinukoy sa switch ngunit hindi kailanman itinalaga bilang interface ay walang address at walang firewall zone, kaya hindi ito makapagpapatupad ng anuman nang mag-isa.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Basahin ang estado ng switch sa halip na magtiwala sa menu. Sa mas lumang OpenWrt target, ipinapasa ng switch tool ang mga naka-configure na aparato, at sa DSA target, iniuulat ng bridge tool ang parehong katotohanan sa bawat port, kaya kabilang ang release ng firmware sa talaan.
Itala ang pag-uugali ng WAN at ng paglipat kapag nabigo
Ang paraan ng pag-access, pagmamay-ari ng address at pagkakasunod-sunod ng paglipat kapag nabigo ay nabibilang sa isang linya bawat uplink, dahil ang tunnel na nakakaligtas sa pagbabago ng WAN ay umaasa sa tatlo. Ang PPPoE session ay muling kumokonekta gamit ang bagong address at ibinabagsak ang tunnel kasama nito, samantalang ang DHCP uplink na nagpapanatili ng lease ay maaaring hindi.
Kailangan din ng paglipat kapag nabigo ang desisyon sa patakaran. Madaling ipadala ang lahat ng trapiko sa backup link; ang panatilihin ang tunnel sa pangunahing link habang ginagamit ng ordinaryong web traffic ang backup ay nangangailangan ng policy routing, at hindi lahat ng firmware ay nagbibigay nito. Itala kung ang tunnel ay nakatali sa isang uplink, at ano ang ginagawa ng aparato sa mga naitatag na session kapag nawala ang link na iyon. Itago ang routing table bilang ebidensya, hindi ang checkbox ng paglipat kapag nabigo.
Subukan ang isang pinapayagang daloy at isang tinanggihang daloy
Sulit itago ang talaan kung matatanggap ang aparato ayon dito. Pumili ng isang daloy na dapat gumana, isang hindi dapat, at patakbuhin ang dalawa mula sa isang kliyente sa segment na pinag-uusapan. Ang tunnel na nagdadala ng bawat subnet ay kabiguan kapag ang kinakailangan ay isang subnet.
Pagkatapos ay pagtibayin ang pagtanggi, dahil ang mapagpahintulot na default ay ang karaniwang sorpresa. Hindi dapat maabot ng guest segment ang management address, at ang pagsusuri ay dapat magpakita ng timeout o pagtanggi sa halip na login page.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Kung gumagana ang pinapayagang daloy at gumagana rin ang tinanggihan, kulang ang paghahati kahit iminungkahi ng mga menu ang kabaligtaran. Kung parehong nabigo, mali ang saklaw ng tunnel o ang return path, at karaniwang ipinapaliwanag ng talaan ng WAN kung alin. Itago ang dalawang resulta kasama ng talaan ng kakayahan upang makita ng susunod na tagasuri kung ano ang tinanggap, sa aling firmware at sa anong petsa.