Routerda oqishlarsiz VPN zaxira siyosatini qanday qurish kerak
Afzal tunnel uzilganda trafik nima qilishini hal qiling: zaxira tunnel, oddiy WAN yoki bloklash. Keyin uni routerda qurib, sinab ko'ring.
Zaxira rejim aynan sozlanganidek ishladi va muammo ham shunda edi. Asosiy tunnel uzilganda router standart yo'lni kabel modemga o'tkazdi, noutbuklar ko'rishda davom etdi va hech kim qo'ng'iroq qilmadi. Ikki kundan keyin kimdir moliya bo'limi ulashmasi olti soat davomida ochiq internet yo'li orqali ochiq bo'lganini payqadi. Routerdagi VPN zaxira siyosati bu marshrutlash hiylasi emas; bu afzal yo'l yo'qolganda trafik nima qilishi haqidagi qaror va bu qaror yo'l yo'qolishidan oldin mavjud bo'lishi kerak.
Detektorni tanlashdan oldin natijani hal qiling
Odatda stolda uchta natija bo'ladi: zararlangan mijozlarni zaxira tunnel orqali yuborish, ularga oddiy WAN dan foydalanishga ruxsat berish yoki ularni butunlay bloklash. Qaysi biri qaysi VLAN, SSID yoki qurilma sinfiga tegishli ekanini yozib qo'ying. Bitta tekis «WAN ga o'tish» qoidasi yuqoridagi moliya ulashmasi ochiq yo'lga tushishiga sabab bo'ldi.
Bu uchtasi bir-birining o'rnini bosa olmaydi. WAN ga qaytish qo'llab-quvvatlash xizmatini telefonlarga javob berishda ushlab turadi, lekin ichki nomlarni mahalliy rezolverga ochib beradi. Zaxira tunnel siyosatni saqlaydi, lekin uzoq tomon qabul qilmaydigan chiqish manziliga tushishi mumkin. Bloklash ish haqi VLAN uchun to'g'ri, tunnelni hech qachon ishlatmagan mehmon tarmog'i uchun noto'g'ri.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
Detektorni siz haqiqatan qo'rqadigan nosozlikka moslang
Qo'l berish holati, interfeys holati va ishlaydigan yo'naltirish uch xil signal bo'lib, foydalanuvchi uchun faqat oxirgisi muhim. Provayderning yuqori tarmog'i paketlarni tashlab yuborayotganda WireGuard peer yaqinda qo'l berishni ko'rsatishi mumkin. OpenVPN mijozi o'zi surgan marshrut yechilishdan to'xtaganidan keyin ham «ulangan» holatida qolishi mumkin.
pfSense da amaliy yechim dpinger bilan oziqlanadigan shlyuz guruhi bo'lib, u kuzatuv manzilini tekshiradi va yo'qotish yoki kechikish chegaralardan oshganda shlyuzni ishlamayotgan deb belgilaydi. Bu kuzatuvni tunnel tashqarisidagi narsaga, masalan uzoq LAN dagi xostga yoki u orqali yetib boriladigan ochiq manzilga qarating. Uni tunnelning o'z peer manziliga qaratish siz allaqachon tirik deb bilgan qismni o'lchaydi.
Guruhni zaxira oxirgi chora bo'lib qoladigan qilib quring
Bitta tekis a'zolar ro'yxati o'rniga darajalardan foydalaning. Asosiy 1-darajada, zaxira tunnel 2-darajada, WAN 3-darajada faqat siyosati ruxsat bergan VLAN uchun. pfSense da bu System > Routing > Gateway Groups ostida: ikkala shlyuzni ham qo'shing, ularga turli darajalar bering, Trigger Level ni a'zo ishlamay qolishi va paket yo'qotilishi qilib belgilang, saqlang, so'ng guruhni interfeysning standarti sifatida yoki unga muhtoj xavfsizlik devori qoidalarining Gateway maydonida qo'llang.
pfSense 2.5 va undan keyingi OpenVPN mijoz nusxasi uchun nusxaning Default Gateway sozlamasi tunnel tizimning standart yo'lini almashtirishini hal qiladi. Qoida bo'yicha marshrutlash faqat siz taxmin qilgan yo'l haqiqatan o'rnatilgan bo'lsagina kutilganidek ishlaydi. O'zgarishdan keyin tunnel holati belgisiga ishonish o'rniga Status > Gateways ni tekshiring.
Ko'p tebranishga ikkita sozlama sabab bo'ladi. Biri provayderning o'z qayta yaqinlashuvidan qisqaroq tekshiruv oralig'i. Ikkinchisi asosiy va zaxira bir darajani bo'lishadigan guruh, shuning uchun ikkalasi ham doim mos bo'lib qoladi. Foydalanuvchilar o'tishlarni sizning o'rningizga his qilishidan oldin yo'qotish va kechikish chegaralari orqali histerezis qo'shing.
Tunnel hech qachon egalik qilmagan yo'llarni yoping
Avval DNS oqishlari. Rezolver WAN da javob berishda va u orqali uzatishda davom etadi, shuning uchun trafik tunnelga bog'langan bo'lsa-da nomlar ISP orqali yechilishda davom etadi. Rezolverning chiqish interfeyslarini cheklang, ichki rezolverni mijozlarga suring va faqat VPN bo'lgan VLAN larda qolgan hamma uchun 53-portni bloklang.
IPv6 o'z qarorini talab qiladi. Ikki stekli LAN tunnelni yo'qotib, ishlaydigan global IPv6 standart yo'lini saqlab qolishi mumkin, shuning uchun brauzerlar IPv6 ni afzal ko'radi va WAN orqali chiqadi, IPv4 esa to'liq o'ralgan ko'rinadi. Yo IPv6 ni tunnelga marshrutlang yoki tunnel ishlamayotganda global prefiksni e'lon qilishni to'xtating. Yarim siyosat yo'qligidan yomonroq, chunki u ishlayotgandek ko'rinadi.
Keyin qaytish yo'li. Agar zaxira chiqish boshqa manba manzilidan foydalansa, uzoq tomon trafikni unga qanday qaytarishni bilishi kerak va eski manzilga bog'langan har bir holat allaqachon o'lik. Asosiy uzilganda ochilgan sessiyalar ko'chmaydi; ular muddati tugaguncha va ilova nima qilishni hal qilmaguncha kutib turadi.
Uzilishni, tebranishni va qaytish yo'lini sinab ko'ring
Zararsiz trafik ishlab turganda asosiyni uzing, so'ng to'rt narsani o'qing: guruh a'zolarining holatlari uchun Status > Gateways, hali eski shlyuzga bog'langan holatlar uchun pfctl -ss, chiqish yo'li uchun mijozdan traceroute va qaysi server javob berganini ko'rish uchun rezolver so'rovi.
Endi uni tebrating. Asosiyni o'ttiz soniya yuqoriga, o'ttiz pastga, ikki marta ko'taring. Agar trafik har bir o'tishni ta'qib qilsa, chegaralar juda tor yoki darajalar noto'g'ri. Buni o'z jadvalingizda tuzating, aks holda provayder buni o'z jadvalida qiladi.
Nihoyat, routerni hali ham boshqara olishingizni tasdiqlang. Konsol kabeli, boshqaruv VLAN yoki uyali modem kabi tarmoqdan tashqari yo'lni saqlang. Sizni tashqarida qulflab qo'yadigan zaxira sinovi tugata olmaydigan sinovdir va yetib bo'lmaydigan router o'z-o'zidan qaytib kela olmaydi.
Siyosatni tugagan deb e'lon qilishdan oldin terminal ochmasdan to'rt savolga javob bera olishingiz kerak: tunnel ishlamayotganda qaysi VLAN lar WAN dan foydalanishi mumkin, detektor nimani kuzatadi va qancha kutadi, qaysi nom serverlari va IPv6 yo'llari yo'l bilan birga harakatlanadi va zaxira ham ishlamasa qanday qaytib kelasiz. Agar biron javob «standart nima bo'lsa o'sha» bo'lsa, siyosat hali ham routerga tegishli, sizga emas.