Báwo ni a ṣe lè kọ́ ìlànà ìyípadà VPN lórí router láìsí ìtúká
Pinnu ohun tí ìgbòkègbodò yóò ṣe nígbà tí ọ̀nà àkọ́kọ́ bá ṣubú: ọ̀nà kejì, WAN lasan tàbí dídènà. Lẹ́yìn náà kọ́ ọ, kí o sì dán an wò lórí router.
Ìyípadà náà ṣiṣẹ́ gẹ́gẹ́ bó ṣe wà ní ètò, ìṣòro náà sì ni yẹn. Nígbà tí ọ̀nà àkọ́kọ́ ṣubú, router gbé ọ̀nà àkọ́kọ́ lọ sí modem kebù, àwọn kọ̀mpútà ẹ̀rọ̀ ń tẹ̀síwájú ní ṣíṣe àwárí, kò sì sí ẹnikẹ́ni tó pè. Ọjọ́ méjì lẹ́yìn náà, ẹnìkan ṣàkíyèsí pé àpò owó ti ṣí sílẹ̀ nípasẹ̀ ọ̀nà Íńtánẹ́ẹ̀tì tó ṣí fún wákàtí mẹ́fà. Ìlànà VPN failover lórí router kì í ṣe ọ̀nà ẹ̀tàn ìtọ́sọ́nà; ó jẹ́ ìpinnu nípa ohun tí ìgbòkègbodò yóò ṣe nígbà tí ọ̀nà tó yàn bá pòórá, ìpinnu yẹn sì gbọ́dọ̀ wà kí ọ̀nà tó pòórá.
Pinnu àbájáde kí o tó yan ẹ̀rọ ìwádìí
Ní ọ̀pọ̀ ìgbà, àbájáde mẹ́ta wà lórí tábìlì: fi àwọn kọ̀mpútà tó kan ránṣẹ́ nípasẹ̀ ọ̀nà kejì, jẹ́ kí wọ́n lo WAN lasan, tàbí dènà wọn pátápátá. Kọ ẹni tó yẹ fún VLAN, SSID tàbí ẹ̀ka ẹ̀rọ kọ̀ọ̀kan. Ìlànà kan ṣoṣo «yí padà sí WAN» ni ó mú kí àpò owó tó wà lókè yọ jáde sí ọ̀nà gbogbo ènìyàn.
Àwọn mẹ́ta yìí kò lè rọ́pò ara wọn. Ìpadà sí WAN máa ń jẹ́ kí ẹ̀ka ìrànwọ́ máa dáhùn fọ́nù ṣùgbọ́n ó máa ń fi àwọn orúkọ inú hàn sí ẹ̀rọ ìtúsílẹ̀ àdúgbò. Ọ̀nà kejì máa ń pa ìlànà mọ́ ṣùgbọ́n ó lè dé àdírẹ́sì ìjáde tí ẹ̀gbẹ́ kejì kò gbà. Dídènà tọ́ fún VLAN owó oṣù, kò sì tọ́ fún nẹ́tíwọ́kì àlejò tí kò lo ọ̀nà rárá.
| Outcome | Right for | What breaks |
|---|---|---|
| Backup tunnel | Policy must hold, remote access required | New exit address, return route, slower rekey |
| Plain WAN | Guest or public-only traffic | Internal names, DNS and IPv6 exposure |
| Block | Payroll, admin, anything VPN-only | Users lose all access and call you |
So ẹ̀rọ ìwádìí pọ̀ mọ́ ìkùnà tí ìwọ ń bẹ̀rù gan-an
Ipò ìfọwọ́sowọ́pọ̀, ipò ìnú ati ìgbékalẹ̀ tó ń ṣiṣẹ́ jẹ́ àmì mẹ́ta tó yàtọ̀, èyí tí ó kẹ́yìn nìkan ni ó ṣe pàtàkì fún olùlò. WireGuard peer lè fi ìfọwọ́sowọ́pọ̀ tuntun hàn nígbà tí ẹ̀ka òkè olùpèsè ń ju àwọn pákẹ́tì nù. OpenVPN client lè dúró ní «sopọ̀» lẹ́yìn tí ọ̀nà tó tì kò tíì yanjú mọ́.
Lórí pfSense, ètò tó wà ní ìṣe ni ẹgbẹ́ gateway tí dpinger ń bọ́, tí ó ń yẹ àdírẹ́sì ìṣọ́wọ́ wò, tí ó sì ń sàmì sí gateway gẹ́gẹ́ bí ó ti ṣubú nígbà tí àdánù tàbí ìdádúró bá kọjá àwọn ààlà. Darí ìṣọ́wọ́ yẹn sí nǹkan tó wà ní ìlàjì ọ̀nà, bíi ẹ̀rọ kan nínú LAN tó jìnnà tàbí àdírẹ́sì gbogbo ènìyàn tí o ń dé nípasẹ̀ rẹ̀. Dídarí rẹ̀ sí àdírẹ́sì peer ti ọ̀nà fúnra rẹ̀ ń díwọ̀n apá tí o ti mọ̀ pé ó wà láàyè.
Kọ́ ẹgbẹ́ náà kí ọ̀nà kejì lè wà gẹ́gẹ́ bí ọ̀nà ìkẹyìn
Lo àwọn ìpele dípò àkọsílẹ̀ ọmọ ẹgbẹ́ kan ṣoṣo. Èyí àkọ́kọ́ ní ìpele 1, ọ̀nà kejì ní ìpele 2, WAN ní ìpele 3 fún àwọn VLAN tí ìlànà wọn gbà láàyè nìkan. Nínú pfSense èyí wà lábẹ́ System > Routing > Gateway Groups: fi àwọn gateway méjèèjì kún, fún wọn ní ìpele ọ̀tọ̀ọ̀tọ̀, ṣètò Trigger Level sí ọmọ ẹgbẹ́ ṣubú pẹ̀lú àdánù pákẹ́tì, tọ́jú, lẹ́yìn náà lo ẹgbẹ́ náà gẹ́gẹ́ bí àkọ́kọ́ ìnú tàbí nínú pápá Gateway ti àwọn òfin firewall tó nílò rẹ̀.
Fún ẹ̀ka client OpenVPN lórí pfSense 2.5 àti lẹ́yìn, ètò Default Gateway ti ẹ̀ka náà ń pinnu bóyá ọ̀nà máa rọ́pò ọ̀nà àkọ́kọ́ ẹ̀rọ náà rárá. Ìtọ́sọ́nà nípasẹ̀ òfin máa ń hùwà bó ṣe retí nìkan nígbà tí ọ̀nà tí o rò pé ó wà ti wà ní ti gidi. Lẹ́yìn ìyípadà, yẹ Status > Gateways wò dípò gbẹ́kẹ̀ lé àmì ipò ọ̀nà.
Ètò méjì ni ó ń fa ọ̀pọ̀lọpọ̀ ìfọ̀ ọ̀nà. Ọ̀kan ni àkókò ìyẹ̀wò tó kúrú ju àkókò ìpadàpọ̀ olùpèsè fúnra rẹ̀. Èkejì ni ẹgbẹ́ tí àkọ́kọ́ àti kejì ń pín ìpele kan, nítorí náà àwọn méjèèjì wà ní ẹ̀tọ́ nígbà gbogbo. Fi hysteresis kún nípasẹ̀ àwọn ààlà àdánù àti ìdádúró kí àwọn olùlò tó fi ara wọn kíyèsi àwọn ìyípadà.
Tì àwọn ọ̀nà tí ọ̀nà kò ní rí
Àkọ́kọ́ àwọn ìtúká DNS. Ẹ̀rọ ìtúsílẹ̀ ń dúró dáhùn lórí WAN, ó sì ń gbé e jáde, nítorí náà àwọn orúkọ ṣì ń yanjú nípasẹ̀ ISP nígbà tí ìgbòkègbodò wà ní ìdè mọ́ ọ̀nà. Dín àwọn interface ìjáde ti ẹ̀rọ ìtúsílẹ̀ kù, ti ẹ̀rọ ìtúsílẹ̀ inú lọ sí àwọn client, kí o sì dènà port 53 fún gbogbo nǹkan mìíràn nínú àwọn VLAN VPN nìkan.
IPv6 nílò ìpinnu tirẹ̀. LAN dual-stack lè pàdánù ọ̀nà ṣùgbọ́n kí ó ní ọ̀nà àkọ́kọ́ IPv6 àgbáyé tó ń ṣiṣẹ́, nítorí náà àwọn browser máa ń fẹ́ IPv6, wọ́n sì ń jáde nípasẹ̀ WAN nígbà tí IPv4 dàbí ẹni tí wọ́n dè mọ́ dáadáa. Yálà darí IPv6 sínú ọ̀nà tàbí jáwọ́ láti polongo àkọ́sílẹ̀ àgbáyé nígbà tí ọ̀nà bá ṣubú. Ìdajì ìlànà burú ju kíkò ní èyíkéyìí, nítorí ó dàbí ẹni pé ó ń ṣiṣẹ́.
Lẹ́yìn náà ọ̀nà ìpadà. Bí ìjáde kejì bá lo àdírẹ́sì orísun mìíràn, ẹ̀gbẹ́ kejì gbọ́dọ̀ mọ bí yóò ṣe rán ìgbòkègbodò padà sí i, gbogbo ipò tí ó so mọ́ àdírẹ́sì àtijọ́ sì ti kú. Àwọn ìpàdé tí ó ṣí nígbà tí àkọ́kọ́ ṣubú kò ń ṣí kúrò; wọ́n dúró títí àkókò yóò fi tán, kí ètò náà sì pinnu ohun tó máa ṣe.
Dán ìṣubú, ìfọ̀ ọ̀nà àti ọ̀nà ìpadà wò
Fa àkọ́kọ́ jáde nígbà tí ìgbòkègbodò tí kò léwu ń ṣiṣẹ́, lẹ́yìn náà ka nǹkan mẹ́rin: Status > Gateways fún àwọn ipò ọmọ ẹgbẹ́, pfctl -ss fún àwọn ipò tó ṣì so mọ́ gateway àtijọ́, traceroute láti client fún ọ̀nà ìjáde, àti ìbéèrè ẹ̀rọ ìtúsílẹ̀ láti wo server tó dáhùn.
Ní báyìí, mú kí ó fọ̀. Gbé àkọ́kọ́ sókè fún ọgbọ̀n ìṣẹ́jú-àáyá, sọ̀ọ́lẹ̀ fún ọgbọ̀n, lẹ́ẹ̀mejì. Bí ìgbòkègbodò bá ń tẹ̀lé gbogbo ìyípadà, àwọn ààlà ti há mọ́ tàbí àwọn ìpele kò tọ́. Tún èyí ṣe ní àkókò tìrẹ, nítorí bí bẹ́ẹ̀ kọ́ olùpèsè yóò ṣe é ní àkókò tìrẹ̀.
Níkẹyìn, jẹ́rìí pé o ṣì lè ṣàkóso router. Tọ́jú ọ̀nà tó wà ní ẹ̀gbẹ́ kan bíi kebù console, VLAN ìṣàkóso tàbí modem cellular. Ìdánwò failover tó fi ọ́ séde níta jẹ́ ìdánwò tí o kò lè parí, router tí a kò lè dé ọ̀dọ̀ kò sì lè padà fúnra rẹ̀.
Kí o tó sọ pé ìlànà ti parí, ó yẹ kí o lè dáhùn ìbéèrè mẹ́rin láìṣí terminal: àwọn VLAN wo ló lè lo WAN nígbà tí ọ̀nà bá ṣubú, kí ni ẹ̀rọ ìwádìí ń ṣọ́ àti ìgbà tó ń dúró, àwọn server orúkọ àti ọ̀nà IPv6 wo ló ń lọ pẹ̀lú ọ̀nà, àti báwo ni wàá ṣe padà wọlé bí kejì náà bá kùnà pẹ̀lú. Bí ìdáhùn èyíkéyìí bá jẹ́ «ohunkóhun tó jẹ́ àkọ́kọ́», ìlànà náà ṣì jẹ́ ti router, kì í ṣe tìrẹ.