Другий роутер як VPN-шлюз: що він не вирішує

Поставити другий роутер за основним — чистий спосіб дати кільком пристроям інший вихід. Це також місце, де люди очікують більшої ізоляції, ніж дає пристрій. Основна мережа зберігає звичний шлях, а нижня мережа дотримується політики другого роутера. Те, що відбувається між ними, і те, що відбувається, коли тунель падає, — це частина, варта планування.

Налаштування працює. Міфи стосуються того, від чого воно захищає. Це все ще корисний дизайн; просто сам по собі він не є межею безпеки.

Міф: другий роутер повністю ізолює тунель

Пристрої за другим шлюзом дотримуються його політики. Пристрої основної мережі не успадковують цей тунель, і в цьому сенс. Але другий роутер усе ще має шлях угору через перший, і цей шлях — стосунки, якими треба керувати.

Другому роутеру також потрібен клієнтський профіль VPN. Функція, яка приймає лише вхідні VPN-з'єднання, не створює вихідний тунель до постачальника. Перевірте підтримку клієнта в прошивці, перш ніж купувати обладнання.

Дайте нижній мережі підмережу без перекриття. Копіювання прикладового діапазону без перевірки наявних мереж — надійний спосіб створити загадку маршрутизації.

Міф: подвійний NAT — це лише інкапсуляція VPN

Два маршрутизовані шлюзи можуть створити подвійний NAT, і це окремо від власної інкапсуляції VPN. Звичайний вихідний трафік зазвичай працює. Вхідний доступ до сервісів потребує продуманого дизайну, часто переадресації порту на обох пристроях або зовсім іншого підходу.

Додатковий шар трансляції також ускладнює читання журналів. Адреса джерела в журналі основного роутера може належати другому роутеру, а не пристрою, який ви налагоджуєте. Це варто знати, перш ніж гнатися за фантомним пристроєм.

Запишіть план адрес, перш ніж щось вмикати.

Міф: виявлення проходить, бо обидві LAN добре переглядаються

Обидві мережі можуть переглядати інтернет, поки виявлення між ними не працює. Телефон в основній Wi-Fi може не знайти телевізор за VPN-шлюзом, бо multicast-виявлення за замовчуванням не перетинає маршрутизовану межу. Якщо це важливо, потрібен відбивач або інша топологія. Успішний перегляд не є доказом локального виявлення.

Тримайте інтерфейс керування другого роутера доступним із дозволеного шляху, не публікуючи його в WAN. Збережіть конфігурацію обох шлюзів, перш ніж змінювати маршрути.

Перевірте DNS і IPv6, а також видиму адресу виходу. Тунель, який несе лише IPv4, може витекти інше сімейство. Запишіть обидва результати в журнал змін.

Що другий шлюз справді дає

Він робить обсяг видимим. Ви можете вказати на один пристрій і сказати, яка мережа йде через тунель, а домогосподарство зберігає звичний шлях. Ця ясність для багатьох домів варта додаткового обладнання.

Це все ще ще один пристрій, який треба обслуговувати, з обліковими даними, прошивкою та процесом відновлення. Вирішіть, чи мають нижні пристрої зупинятися або повертатися, коли VPN падає, і перевірте цю поведінку. Шлюз не прибирає операційну роботу; він її концентрує. Рецепт клієнта pfSense WireGuard охоплює бік тунелю на одній поширеній платформі.