Router thứ hai làm cổng VPN: điều nó không giải quyết

Đặt router thứ hai sau router chính là cách sạch sẽ để cho vài thiết bị một lối ra khác. Đây cũng là nơi người ta mong đợi sự cô lập nhiều hơn mức thiết bị mang lại. Mạng chính giữ đường đi thông thường, và mạng phía dưới theo chính sách của router thứ hai. Điều gì xảy ra giữa chúng, và điều gì xảy ra khi đường hầm hỏng, là phần đáng được lập kế hoạch.

Cấu hình hoạt động. Những lầm tưởng là về thứ nó bảo vệ. Đây vẫn là một thiết kế hữu ích; chỉ là bản thân nó không phải ranh giới bảo mật.

Lầm tưởng: router thứ hai cô lập đường hầm hoàn toàn

Các thiết bị sau cổng thứ hai theo chính sách của nó. Các thiết bị trên mạng chính không thừa hưởng đường hầm đó, và đó là mục đích. Nhưng router thứ hai vẫn có đường lên qua router thứ nhất, và đường đó là một mối quan hệ bạn phải quản lý.

Router thứ hai cũng cần một hồ sơ máy khách VPN. Một tính năng chỉ chấp nhận kết nối VPN đến không tạo đường hầm đi ra tới nhà cung cấp. Hãy kiểm tra hỗ trợ máy khách của firmware trước khi mua phần cứng.

Cho mạng phía dưới một mạng con không trùng lặp. Sao chép một dải mẫu mà không kiểm tra các mạng hiện có là cách chắc chắn để tạo ra một câu đố định tuyến.

Lầm tưởng: NAT kép chỉ là việc đóng gói của VPN

Hai cổng được định tuyến có thể tạo NAT kép, và điều đó tách biệt với việc đóng gói của chính VPN. Lưu lượng đi ra thông thường thường hoạt động. Truy cập dịch vụ đi vào cần thiết kế có chủ đích, thường là chuyển tiếp cổng trên cả hai thiết bị hoặc một cách tiếp cận hoàn toàn khác.

Lớp dịch thêm cũng làm nhật ký khó đọc hơn. Địa chỉ nguồn trong nhật ký của router chính có thể thuộc về router thứ hai thay vì thiết bị bạn đang gỡ lỗi. Điều đó đáng biết trước khi đuổi theo một thiết bị ma.

Viết kế hoạch địa chỉ trước khi bật bất cứ thứ gì.

Lầm tưởng: khám phá đi qua vì cả hai LAN duyệt tốt

Cả hai mạng đều có thể duyệt internet trong khi khám phá giữa chúng thất bại. Một điện thoại trên Wi-Fi chính có thể không tìm thấy tivi sau cổng VPN, vì khám phá multicast mặc định không vượt qua ranh giới được định tuyến. Nếu điều đó quan trọng, bạn cần một bộ phản xạ hoặc một cấu trúc liên kết khác. Thành công khi duyệt không phải bằng chứng của khám phá cục bộ.

Giữ giao diện quản trị của router thứ hai có thể truy cập từ một đường được ủy quyền mà không công bố nó trên WAN. Lưu cấu hình của cả hai cổng trước khi thay đổi tuyến.

Kiểm tra DNS và IPv6 cùng địa chỉ ra nhìn thấy được. Một đường hầm chỉ mang IPv4 có thể làm rò rỉ họ còn lại. Ghi cả hai kết quả vào bản ghi thay đổi.

Cổng thứ hai thực sự cho bạn điều gì

Nó làm phạm vi trở nên hữu hình. Bạn có thể chỉ vào một thiết bị và nói mạng nào đi theo đường hầm, và hộ gia đình giữ đường đi thông thường. Sự rõ ràng đó đáng giá phần cứng thêm với nhiều gia đình.

Đây vẫn là một thiết bị nữa phải bảo trì, với thông tin đăng nhập, firmware và quy trình khôi phục. Quyết định xem các thiết bị phía dưới nên dừng hay quay lại khi VPN hỏng, và kiểm tra hành vi đó. Cổng không loại bỏ công việc vận hành; nó tập trung công việc đó. Công thức máy khách pfSense WireGuard bao gồm phía đường hầm trên một nền tảng phổ biến.