VPN-маршрутизатор: LAN і WAN — що записати перед покупкою
Маркування VPN нічого не каже про VLAN, перемикання під час збою WAN чи ролі тунелів. Запишіть точні можливості моделі й прошивки, яку плануєте впроваджувати.
Ставтеся до маркування «готовий до VPN» як до однієї функції пристрою, який також має маршрутизувати, сегментувати й перемикатися під час збою, бо маркування нічого не каже про те, скільки окремих мереж пристрій може вмістити. Почніть із запису можливостей для точної моделі й прошивки, потім порівняйте цей запис із потоками, яких потребує майданчик. Маркетингові сторінки перелічують порти; вони рідко перелічують членство у VLAN, політику перемикання під час збою чи охоплення тунелю. Запис займає близько двадцяти хвилин і знімає більшість суперечок про покупку до прибуття обладнання.
Спершу зафіксуйте точний пристрій
Назви моделей переходять між поколіннями прошивок, і той самий корпус може постачатися з іншим драйвером комутатора залежно від випуску. Читайте ідентичність плати з самого пристрою, а не з коробки, щоб кожне подальше твердження було прив’язане до того, що ви можете відтворити. Одна команда охоплює модель, назву плати й випуск прошивки в OpenWrt, а еквівалентні екрани є в більшості бізнесових прошивок.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseЗапишіть ці рядки до запису, ніколи не скорочуючи. Потім відокремте звичайну задачу маршрутизації від задачі тунелю. Пристрій, який добре пересилає пакети, усе одно може відмовитися завершувати тунель, а пристрій, що завершує тунель, може не мати способу тримати дві локальні мережі окремо. Якщо вважати це однією вимогою, невідповідність ховається, доки блок уже не змонтований у стійці, налаштований і наполовину визнаний надійним.
Записуйте структуру LAN, а не кількість портів
Чотири роз’єми зазвичай означають один комутатор, а комутатор означає один домен трансляції, якщо не налаштовано VLAN. Це годиться для пласкої домашньої мережі й не годиться для майданчика, якому потрібен гостьовий сегмент, сегмент керування та ізольований сегмент камер на одному пристрої. Запишіть, які порти належать якому VLAN, які VLAN доходять до процесора і які інтерфейси несуть адреси.
Там, де прошивка пропонує VLAN, список інтерфейсів визначає, скільки окремих політик ви можете написати. VLAN, визначений на комутаторі, але жодного разу не призначений інтерфейсом, не має адреси й зони брандмауера, тому сам нічого не забезпечує.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Читайте стан комутатора, а не довіряйте меню. На старіших цілях OpenWrt інструмент комутатора друкує налаштовані пристрої, а на цілях DSA інструменти моста повідомляють ті самі факти для кожного порту, тому випуск прошивки належить до запису.
Запишіть поведінку WAN і перемикання під час збою
Спосіб доступу, володіння адресою й порядок перемикання під час збою належать до одного рядка на кожен висхідний канал, бо тунель, що переживає зміну WAN, залежить від усіх трьох. Сесія PPPoE перепідключається з новою адресою й валить тунель разом із нею, а висхідний канал DHCP, що зберігає оренду, може цього не робити.
Перемикання під час збою потребує й рішення про політику. Надсилати весь трафік на резервний канал легко; тримати тунель на основному, поки звичайний веб-трафік іде через резерв, потребує маршрутизації за політикою, і не кожна прошивка її надає. Відзначте, чи тунель прив’язаний до одного висхідного каналу і що пристрій робить зі встановленими сесіями, коли цей канал зникає. Збережіть таблицю маршрутизації як доказ, а не прапорець перемикання під час збою.
Перевірте один дозволений і один заборонений потік
Запис варто зберігати, лише якщо пристрій можна прийняти за ним. Виберіть один потік, який має працювати, один, який не повинен, і запустіть обидва з клієнта в потрібному сегменті. Тунель, що несе кожну підмережу, — це провал, коли вимогою була одна підмережа.
Потім підтвердьте заборону, бо дозвільне налаштування за замовчуванням — звичайна несподіванка. Гостьовий сегмент не повинен досягати адреси керування, і перевірка має показувати тайм-аут або відмову, а не сторінку входу.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Якщо дозволений потік працює і заборонений теж, сегментації немає, хоча меню натякали на протилежне. Якщо обидва падають, охоплення тунелю або зворотний шлях хибні, і запис WAN зазвичай пояснює, що саме. Зберігайте два результати разом із записом можливостей, щоб наступний перевіряльник побачив, що прийнято, на якій прошивці і якою датою.