Bộ định tuyến VPN: LAN và WAN — cần ghi lại gì trước khi mua
Nhãn VPN không cho biết gì về VLAN, chuyển đổi khi WAN lỗi hay vai trò của đường hầm. Hãy ghi lại chính xác năng lực của mẫu máy và firmware bạn định triển khai.
Hãy coi nhãn sẵn sàng VPN là một tính năng của thiết bị còn phải định tuyến, phân đoạn và chuyển đổi khi có sự cố, vì nhãn không cho biết thiết bị chứa được bao nhiêu mạng riêng biệt. Bắt đầu bằng việc ghi một hồ sơ năng lực cho đúng mẫu máy và firmware, sau đó so sánh hồ sơ đó với các luồng mà hiện trường cần. Các trang tiếp thị liệt kê cổng; chúng hiếm khi liệt kê tư cách thành viên VLAN, chính sách chuyển đổi khi lỗi hay phạm vi đường hầm. Hồ sơ mất khoảng hai mươi phút và giải quyết phần lớn tranh cãi mua sắm trước khi phần cứng đến.
Chốt đúng thiết bị trước mọi thứ khác
Tên mẫu máy đi qua các thế hệ firmware, và cùng một vỏ máy có thể được giao với trình điều khiển switch khác tùy bản phát hành. Đọc danh tính bo mạch từ chính thiết bị chứ không phải từ thùng hàng, để mọi khẳng định sau đó đều gắn với thứ bạn có thể tái tạo. Một lệnh bao quát mẫu máy, tên bo mạch và bản phát hành firmware trên OpenWrt, và các màn hình tương đương có trong hầu hết firmware doanh nghiệp.
ssh [email protected] 'ubus call system board'
cat /etc/openwrt_releaseGhi các chuỗi đó vào hồ sơ, không bao giờ viết tắt. Sau đó tách công việc định tuyến thông thường khỏi công việc đường hầm. Một thiết bị chuyển tiếp gói tốt vẫn có thể từ chối kết thúc đường hầm, và một thiết bị kết thúc đường hầm có thể không có cách giữ hai mạng cục bộ tách biệt. Nếu coi cả hai là một yêu cầu, sự không khớp sẽ bị che giấu cho đến khi thiết bị đã lắp vào giá, cấu hình và được tin một nửa.
Ghi cấu trúc LAN, không phải số cổng
Bốn cổng thường có nghĩa là một switch, và switch nghĩa là một miền quảng bá trừ khi VLAN được cấu hình. Điều đó tốt cho mạng gia đình phẳng và sai cho một hiện trường muốn phân đoạn khách, phân đoạn quản trị và phân đoạn camera tách biệt trên cùng thiết bị. Ghi lại cổng nào thuộc VLAN nào, VLAN nào đến được CPU và giao diện nào mang địa chỉ.
Nơi firmware cung cấp VLAN, danh sách giao diện quyết định bạn viết được bao nhiêu chính sách khác nhau. Một VLAN được định nghĩa trên switch nhưng chưa bao giờ được gán làm giao diện thì không có địa chỉ và không có vùng tường lửa, nên nó không thể tự thực thi bất cứ điều gì.
| Field to record | Example entry | Review stops if |
|---|---|---|
| Ports and VLAN membership | ports 1-4 untagged on VLAN 10, port 5 trunk with VLAN 10 and 20 | the datasheet offers only a socket count |
| Routed interfaces | br-lan 192.168.88.1/24, vlan20 192.168.99.1/24 | two subnets cannot hold separate policies |
| WAN method and failover | DHCP on wan, PPPoE on wan2, policy route to wan2 on loss | only one uplink is configurable |
| Tunnel role and scope | WireGuard peer on the router, only 192.168.88.0/24 routed inside | the router can only pass another tunnel through |
Đọc trạng thái switch thay vì tin menu. Trên các mục tiêu OpenWrt cũ, công cụ switch in các thiết bị đã cấu hình, và trên mục tiêu DSA, công cụ cầu nối báo cùng sự thật cho từng cổng, vì vậy bản phát hành firmware thuộc về hồ sơ.
Ghi hành vi WAN và chuyển đổi khi lỗi
Phương thức truy cập, quyền sở hữu địa chỉ và thứ tự chuyển đổi khi lỗi thuộc về một dòng cho mỗi đường lên, vì một đường hầm sống sót qua thay đổi WAN phụ thuộc cả ba. Một phiên PPPoE kết nối lại với địa chỉ mới và làm rơi đường hầm theo, trong khi một đường lên DHCP giữ nguyên thuê bao có thể không như vậy.
Chuyển đổi khi lỗi cũng cần một quyết định chính sách. Gửi toàn bộ lưu lượng sang đường dự phòng thì dễ; giữ đường hầm trên đường chính trong khi lưu lượng web thông thường dùng đường dự phòng đòi hỏi định tuyến theo chính sách, và không phải firmware nào cũng cung cấp. Ghi lại đường hầm có gắn với một đường lên hay không và thiết bị làm gì với các phiên đã thiết lập khi đường đó biến mất. Giữ bảng định tuyến làm bằng chứng, không phải ô đánh dấu chuyển đổi khi lỗi.
Thử một luồng được phép và một luồng bị từ chối
Hồ sơ chỉ đáng giữ nếu có thể nghiệm thu thiết bị theo nó. Chọn một luồng phải hoạt động, một luồng không được phép, và chạy cả hai từ một máy khách trong phân đoạn liên quan. Một đường hầm mang mọi mạng con là thất bại khi yêu cầu chỉ là một mạng con.
Sau đó xác nhận việc từ chối, vì mặc định dễ dãi là điều bất ngờ thường gặp. Phân đoạn khách không được chạm tới địa chỉ quản trị, và kiểm tra phải cho thấy hết thời gian hoặc bị từ chối chứ không phải trang đăng nhập.
curl -sS --max-time 8 https://api.ipify.org
ping -c 2 192.168.99.1
ip -4 route get 192.168.99.1Nếu luồng được phép hoạt động và luồng bị từ chối cũng hoạt động, phân đoạn đang thiếu dù menu gợi ý ngược lại. Nếu cả hai đều thất bại, phạm vi đường hầm hoặc đường về sai, và hồ sơ WAN thường giải thích cái nào. Giữ hai kết quả cùng hồ sơ năng lực để người đánh giá tiếp theo thấy điều gì đã được chấp nhận, trên firmware nào và ngày nào.