VPN router: LAN va WAN — sotib olishdan oldin nimani yozib qo'yish kerak
VPN yorlig'i VLAN, WAN nosozligida o'tish yoki tunnel rollari haqida hech narsa demaydi. O'rnatmoqchi bo'lgan model va firmware uchun aniq imkoniyatlarni yozib qo'ying.
VPN-ga tayyor yorlig'ini qurilmaning bitta xususiyati deb qabul qiling, u ham marshrutlashi, segmentlashi va nosozlikda almashishi kerak, chunki yorliq qurilma qancha alohida tarmoqni saqlashi mumkinligini aytmaydi. Aniq model va firmware uchun imkoniyatlar yozuvini yozishdan boshlang, so'ngra o'sha yozuvni saytga kerak bo'lgan oqimlar bilan solishtiring. Marketing sahifalari portlarni sanaydi; ular VLAN a'zoligi, nosozlikda o'tish siyosati yoki tunnel qamrovini kamdan-kam sanaydi. Yozuv taxminan yigirma daqiqa oladi va apparat kelishidan oldin xarid bahslarining ko'pini hal qiladi.
Hammasidan oldin aniq qurilmani belgilang
Model nomlari firmware avlodlari bo'ylab o'tadi, va bir xil korpus chiqarilishga qarab boshqa switch drayveri bilan kelishi mumkin. Plata identifikatorini kartondan emas, qurilmaning o'zidan o'qing, shunda keyingi har bir da'vo siz takrorlay oladigan narsaga bog'lanadi. OpenWrt'da bitta buyruq model, plata nomi va firmware chiqarilishini qamrab oladi, va ekvivalent ekranlar aksariyat biznes firmware'larida mavjud.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseO'sha satrlarni yozuvga yozing, hech qachon qisqartirmang. So'ngra oddiy marshrutlash ishini tunnel ishidan ajrating. Paketlarni yaxshi uzatadigan qurilma baribir tunnelni tugatishdan bosh tortishi mumkin, tunnelni tugatadigan qurilmaning esa ikki mahalliy tarmoqni alohida saqlash yo'li bo'lmasligi mumkin. Ikkalasini bitta talab deb qabul qilish nomuvofiqlikni qurilma tokchaga o'rnatilib, sozlanib, yarim ishonchli bo'lgunga qadar yashiradi.
Port sonini emas, LAN tuzilishini yozib qo'ying
To'rt uya odatda bitta switchni bildiradi, VLAN sozlanmagan bo'lsa switch bitta eshittirish domenini bildiradi. Bu tekis uy tarmog'i uchun yaxshi va bitta qurilmada mehmon segmenti, boshqaruv segmenti va alohida kamera segmentini xohlaydigan sayt uchun noto'g'ri. Qaysi portlar qaysi VLANga tegishli, qaysi VLANlar protsessorga yetib boradi va qaysi interfeyslar manzillarni olib yurishini yozib qo'ying.
Firmware VLAN taklif qiladigan joyda interfeyslar ro'yxati qancha alohida siyosat yozishingizni belgilaydi. Switchda aniqlangan, lekin hech qachon interfeys sifatida tayinlanmagan VLAN na manzilga, na xavfsizlik devori zonasiga ega, shuning uchun u o'z-o'zidan hech narsani amalga oshira olmaydi.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Menyuga ishonish o'rniga switch holatini o'qing. Eski OpenWrt nishonlarida switch vositasi sozlangan qurilmalarni chop etadi, DSA nishonlarida ko'prik vositalari har bir port uchun bir xil faktlarni xabar qiladi, shuning uchun firmware chiqarilishi yozuvga tegishli.
WAN va nosozlikda o'tish xulq-atvorini yozing
Kirish usuli, manzil egaligi va nosozlikda o'tish tartibi har bir yuqori ulanish uchun bitta satrga tegishli, chunki WAN o'zgarishidan omon qoladigan tunnel uchtasiga ham bog'liq. PPPoE seansi yangi manzil bilan qayta ulanadi va tunnelni o'zi bilan yiqitadi, o'z ijarasini saqlaydigan DHCP yuqori ulanishi esa bunday qilmasligi mumkin.
Nosozlikda o'tish siyosat qarorini ham talab qiladi. Butun trafikni zaxira havolaga yuborish oson; oddiy veb-trafik zaxiradan foydalanayotganda tunnelni asosiy havolada ushlab turish siyosatga asoslangan marshrutlashni talab qiladi, va har bir firmware uni taklif qilmaydi. Tunnel bitta yuqori ulanishga bog'langanmi va o'sha havola yo'qolganda qurilma o'rnatilgan seanslar bilan nima qilishini yozib qo'ying. Marshrutlash jadvalini dalil sifatida saqlang, nosozlikda o'tish belgilash katagini emas.
Bitta ruxsat etilgan va bitta rad etilgan oqimni sinab ko'ring
Yozuv faqat qurilmani unga ko'ra qabul qilish mumkin bo'lsa saqlashga arziydi. Ishlashi kerak bo'lgan bitta oqimni, ishlamasligi kerak bo'lgan bittasini tanlang va ikkalasini ham tegishli segmentdagi mijozdan ishga tushiring. Har bir quyi tarmoqni olib yuradigan tunnel, talab bitta quyi tarmoq bo'lganda muvaffaqiyatsizlik.
So'ngra rad etishni tasdiqlang, chunki ruxsat beruvchi sukut odatiy ajablantiradi. Mehmon segmenti boshqaruv manziliga yetib bormasligi kerak, va tekshiruv kirish sahifasi o'rniga vaqt tugashini yoki rad etishni ko'rsatishi kerak.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Agar ruxsat etilgan oqim ishlasa va rad etilgani ham ishlasa, menyular aksini taklif qilgan bo'lsa ham segmentatsiya yo'q. Agar ikkalasi ham muvaffaqiyatsiz bo'lsa, tunnel qamrovi yoki qaytish yo'li noto'g'ri, va WAN yozuvi odatda qaysi birini tushuntiradi. Ikki natijani imkoniyatlar yozuvi bilan birga saqlang, keyingi ko'rib chiquvchi nima qabul qilinganini, qaysi firmware'da va qaysi sanada ko'rsin.