ISP routeri yoniga qo’ng’iroqlarni uzmasdan sayt VPN qo’shing

Ko’p kichik saytlarda allaqachon internet, DHCP va ovoz liniyasini bajaradigan bitta qurilma bor va u sayt tunnelini boshqarmaydi. Xususiy yo’l uchun ikkinchi shlyuz qo’shish, kabelga tegishdan oldin har bir marshrut kimga tegishli ekanini hal qilsangiz ishlaydi. Haqiqiy xavf tunnel emas, telefondarni ro’yxatda ushlab turadigan qurilmani jimgina almashtirishdir. Beshta tekshiruvni tartib bilan bajaring va bittasi muvaffaqiyatsiz bo’lgan joyda to’xtang.

Allaqachon ishlayotgan rollarni yozib oling

Standart shlyuz, DHCP serveri, nom yechuvchi va provayderning ovoz ro’yxati turgan qurilmani qayd eting. Bu misolda ISP routeri 10.50.0.1, yangi shlyuz 10.50.0.2 bo’ladi, uzoq sayt esa 10.60.0.0/24. Bu rejada hech narsa birinchi uch rolni o’zgartirmaydi va gap aynan shunda. Keyin ikkinchi qurilma tunnelni haqiqatan yakunlay olishini tasdiqlang: protokol, kutilayotgan o’tkazuvchanlik va firmware yoki paket yangilanishlarini oladimi, shuni ko’ring. VPN belgisi bor-u yangilanish yo’li yo’q qurilma qo’shimcha emas, yuk.

Ovoz xizmati kimga tegishli ekanini ayta olmasangiz, to’xtang. Ro’yxatni ushlab turgan routerni orqaga qaytarish rejasisiz almashtirish VPN loyihasini telefon uzilishiga aylantiradi.

Yangi shlyuzga bitta manzil va bitta vazifa bering

Uning LAN manzilini DHCP hovuzidan tashqarida band qiling, qayta yuklashdan keyin siljimasin, va internet yo’li bo’lishini xohlamasangiz, unga o’zining standart marshrutini bermang. Uning vazifasi tunnelni ushlab turish va uzoq prefikslarga javob berish. Uzoq saytga yetishi kerak bo’lgan LAN xostlarida hozir qaysi yo’ldan yurishini va o’zgarishdan keyin qaysinisini xohlashingizni isbotlang. O’sha ikki buyruqni oldin va keyin ishga tushirish eng arzon dalil.

ip route get 10.60.0.55
ip neigh show 10.50.0.2
traceroute -n 10.60.0.55

Qidiruv ISP routerini qaytarsa va traceroute internet chetida o’lsa, xostda hali uzoq yo’l yo’q, bu kutilgan holat. Kutilmagan narsa qaytsa, avval shuni hal qiling, chunki har bir keyingi qadam shu asosga tayanadi.

Uzoq prefiks marshruti kimga tegishli ekanini tanlang

A varianti — ISP routeri: u 10.60.0.0/24 uchun shlyuzga qarab statik marshrut tutadi va har bir xost avvalgidek o’z standart shlyuziga ergashadi. B varianti — har bir xost bo’yicha: faqat uzoq sayt kerak bo’lgan mashinalar 10.50.0.2 orqali aniq marshrut oladi, qolgan hamma narsa tegilmaydi. A ko’p xost uchun tozaroq, lekin odatda provayder routeri statik marshrutni qabul qilishini talab qiladi, ba’zilari buni qilmaydi. B provayder hamkorligini talab qilmaydi, lekin xost konfiguratsiyasini saqlashni sizga qoldiradi, shuning uchun kichik tasdiqlangan mashinalar to’plamiga mos keladi.

Ikkala holatda ham qaytish yo’nalishi bo’lishi kerak. Agar uzoq javob shlyuzga kelib, shlyuz uni to’g’ri LAN xostiga uzatsa, trafik ISP routeri chiqish yo’lida ushlab turgan firewall holatidan o’tib ketadi. Shlyuz LAN ning standart routeri bo’lmasa, bu nosimmetriklik dizayn qarori, e’tibor bermasa bo’ladigan xato emas.

ip route add 10.60.0.0/24 via 10.50.0.2 dev eth0
ip route get 10.60.0.55 from 10.50.0.77

Yozuvni xost konfiguratsiyasi egasi orqali doimiy qiling, kirish skripti orqali emas. Faqat kimdir kirgandan keyin mavjud bo’ladigan marshrut, mashina aloqasiz sabab bilan qayta yuklanganda birinchi marta ishlamaydi.

Yetib boriladigan kirish nuqtasini tayyorlang

Shlyuzga uzoq sayt yetib boradigan manzil kerak. ISP routeri orqasida bu portni yo’naltirish yoki DMZ yozuvi degani, ikkisi ham provayder trafikni haqiqatan yetkazishiga bog’liq. Mahalliy yo’naltirish provayder tomonidagi operator darajasidagi NAT ni yengolmaydi. Provayder yetib boriladigan nuqta bermasa, yo’nalishni teskari qiling: ikkala sayt ham siz nazorat qiladigan markazga qarab boshlasin. Bu to’g’ri dizayn, lekin yo’naltirish, ishonch va mavjudlik uchun uchinchi bog’liqlikni qo’shadi, dinamik DNS esa uni almashtirmaydi.

Yo’naltirishni shlyuzda ushlash bilan tasdiqlang, portlarni skanerlaydigan veb-sayt bilan emas. Skanerlar tinglovchi bog’lanmaguncha portni yopiq deb xabar qiladi, hech qachon trafik yetkazmaydigan yo’naltirish esa tashqaridan yopiq portga o’xshaydi.

Xususiy xizmat va ovoz liniyasini birga qabul qiling

Kutilgan ishni LAN xostidan sinab ko’ring, xususiy DNS va ilovaning o’z hisob ma’lumotlari bilan. Marshrutlangan tunnel uzoqdan ko’rishni mahalliy Ethernet bo’lagiga o’xshatmaydi, shuning uchun aniqlash va nom yechish o’z tartibini talab qiladi.

curl -sS -o /dev/null -w '%{http_code}\n' https://files.example.net
ping -c 3 10.60.0.55

Keyin o’sha xostdan oddiy internet kirishi hali ishlashini va telefonlar hali ro’yxatda ekanini tasdiqlang. Bu ikki tekshiruv standart marshrutning tasodifiy o’zgarishini ushlaydi, bu loyiha hech qachon tegishni xohlamagan narsani buzishning eng keng tarqalgan yo’li. Yozma tiklash eslatmasi bilan yakunlang: qaysi qurilma qaysi rolni tutadi, band qilingan manzillar va uzoq prefiks marshrutini bir qadamda qanday olib tashlash. Toza qaytarib olinadigan xususiy yo’l faqat bugun ishlaydiganidan qimmatroq.