ISP yönlendiricisinin yanına aramaları kesmeden site VPN’i ekleyin

ISP yönlendiricisinin internet ve ses rolünü koruyun, özel yolu ikinci bir ağ geçidi üstlensin. Herhangi bir rotayı değiştirmeden önce bu beş kontrolü yapın.

Küçük sitelerin çoğunda interneti, DHCP’yi ve ses hattını yapan tek bir kutu vardır ve o kutu sitenizin tünelini çalıştırmayacaktır. Özel yol için ikinci bir ağ geçidi eklemek, kabloya dokunmadan önce hangi rotanın kime ait olduğuna karar verirseniz çalışır. Asıl risk tünel değil, telefonları kayıtlı tutan cihazı sessizce değiştirmektir. Beş kontrolü sırayla yapın ve biri başarısız olduğu yerde durun.

Zaten çalışan rolleri yazın

Varsayılan ağ geçidini, DHCP sunucusunu, çözümleyiciyi ve sağlayıcının ses kaydını taşıyan cihazı kaydedin. Bu örnekte ISP yönlendiricisi 10.50.0.1, yeni ağ geçidi 10.50.0.2 olacak ve uzak site 10.60.0.0/24. Bu planda hiçbir şey ilk üç rolü değiştirmez ve asıl mesele tam da budur. Ardından ikinci kutunun tüneli gerçekten sonlandırabildiğini doğrulayın: protokole, beklenen aktarıma ve ürün yazılımı ya da paket güncellemesi alıp almadığına bakın. VPN logosu olup güncelleme yolu olmayan bir cihaz ekleme değil, yüktür.

Ses hizmetinin kime ait olduğunu söyleyemiyorsanız durun. Kaydı taşıyan yönlendiriciyi geri dönüş planı olmadan değiştirmek, VPN projesini telefon kesintisine çevirir.

Yeni ağ geçidine bir adres ve bir iş verin

LAN adresini DHCP havuzunun dışında ayırın ki yeniden başlatmadan sonra kaymasın ve internet yolu olmasını istemiyorsanız ona kendi varsayılan rotasını vermeyin. Görevi tüneli tutmak ve uzak önekler için yanıt vermektir. Uzak siteye ulaşması gereken LAN makinelerinde şimdi hangi yolu kullandıklarını ve değişiklikten sonra hangisini istediğinizi kanıtlayın; aynı iki komutu önce ve sonra çalıştırmak en ucuz kanıttır.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Arama ISP yönlendiricisini döndürür ve traceroute internetin kenarında ölürse, makinenin henüz uzak yolu yoktur ve bu beklenir. Beklenmedik bir şey dönerse önce onu çözün, çünkü sonraki her adım bu temeli varsayar.

Uzak önek rotasının kime ait olduğunu seçin

Seçenek A ISP yönlendiricisidir: 10.60.0.0/24 için ağ geçidine doğru statik bir rota tutar ve her makine eskisi gibi kendi varsayılan ağ geçidini izler. Seçenek B makine bazındadır: yalnızca uzak siteye ihtiyaç duyan makineler 10.50.0.2 üzerinden açık bir rota alır, geri kalan her şey dokunulmadan kalır. A çok sayıda makine için daha temizdir, ancak genellikle sağlayıcının yönlendiricisinin statik bir rotayı kabul etmesini gerektirir, bazıları bunu yapmaz. B sağlayıcı işbirliği istemez ama makine yapılandırmasının bakımını size bırakır, bu yüzden küçük ve onaylı bir makine kümesine uygundur.

Her iki durumda da dönüş yönü var olmalıdır. Uzak bir yanıt ağ geçidine gelir ve ağ geçidi onu doğrudan bir LAN makinesine iletirse, trafik ISP yönlendiricisinin çıkış yolunda tuttuğu güvenlik duvarı durumunu atlar. Ağ geçidi LAN’in varsayılan yönlendiricisi değilse, bu asimetri bir tasarım kararıdır, göz ardı edilebilecek bir hata değil.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Kaydı makinenin yapılandırma sahibi üzerinden kalıcı yapın, oturum açma betiği üzerinden değil. Yalnızca biri oturum açtıktan sonra var olan bir rota, makine ilgisiz bir nedenle yeniden başlatıldığında ilk seferde başarısız olur.

Erişilebilir bir gelen uç noktası hazırlayın

Ağ geçidinin uzak sitenin ulaşabileceği bir adrese ihtiyacı vardır. ISP yönlendiricisinin arkasında bu, bağlantı noktası yönlendirmesi ya da DMZ kaydı demektir ve ikisi de sağlayıcının trafiği gerçekten teslim etmesine bağlıdır. Yerel yönlendirme, sağlayıcı tarafındaki operatör düzeyi NAT’i aşamaz. Sağlayıcı erişilebilir bir nokta vermezse yönü ters çevirin: iki site de sizin denetlediğiniz bir merkeze doğru başlatsın. Bu geçerli bir tasarımdır, ancak yönlendirme, güven ve kullanılabilirlik için üçüncü bir bağımlılık ekler ve dinamik DNS bunun yerini tutmaz.

Yönlendirmeyi ağ geçidinde bir yakalama ile doğrulayın, bağlantı noktalarını tarayan bir web sitesiyle değil. Tarayıcılar dinleyici bağlanana kadar bağlantı noktasını kapalı bildirir ve hiç trafik teslim etmeyen bir yönlendirme dışarıdan kapalı bir bağlantı noktası gibi görünür.

Özel hizmeti ve ses hattını birlikte kabul edin

AMAÇLANAN çalışmayı bir LAN makinesinden, özel DNS ve uygulamanın kendi kimlik bilgileriyle test edin. Yönlendirilmiş bir tünel uzaktan gezinmeyi yerel bir Ethernet kesimi gibi göstermez, bu yüzden keşif ve ad çözümlemesi kendi düzenlemelerini gerektirir.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Ardından aynı makineden olağan internet erişiminin hâlâ çalıştığını ve telefonların hâlâ kayıtlı olduğunu doğrulayın; bu iki kontrol varsayılan rotanın kazara değişmesini yakalar ve bu projenin hiç dokunmak istemediği bir şeyi bozmasının en yaygın yolu budur. Yazılı bir kurtarma notuyla bitirin: hangi cihaz hangi rolü taşıyor, ayrılmış adresler ve uzak önek rotasının tek adımda nasıl kaldırılacağı. Temiz biçimde geri çekilebilen özel bir yol, yalnızca bugün çalışandan daha değerlidir.

İlgili makaleler