在前面的折腾过程中,都是在设备上安装 tinc,使其成为VPN的一个节点。理论上说,只要这些设备能连上其他节点或者能被其他节点连接上,就加入了VPN并能提供VPN内的通讯转发服务。但这种折腾方式,并不适合所有的场景。

比如我工作中就有个很典型的场景:办公室里的设备需要访问VPN上的机器,只需访问即可,并不需要这些机器能被VPN上的机器访问 首先如果逐台机器去配置,工作量比较大; 其次在VPN上暴露了这些机器,有隐患; 再次设备并不单指跑Win的PC机啊,MAC呢?MACBOOK呢?苏菲呢?iOs呢?Andriod呢?要针对所有的这些设备安装tinc,累不累啊(苹果只有Cydia的源,需要越狱才能安装。而安卓呢,有对应的软件可以安装,但是使用时需要 root); 再后,我司IT管理很有问题,各自维护各自使用的设备,某些同事还特别喜欢折腾,今天重装下机器,明天恢复成出厂设置……如果每台设备分别安装,每天除了帮他们配节点就不用干别的了…… 最后TINC的密钥文件到处都是,对于安全和管理来说也是个头痛的事情。

所以在上面的场景里,我采用上篇帖子里网络示意图里场景D的模式:在路由器上安装 tinc 并进行设置,需要访问VPN的机器连上这个路由器,不需要进行任何配置就都可以访问VPN里的机器。VPN中的机器也只能看到路由为止(路由屏蔽了下层网络)。另外,这也从物理上限制了访问VPN的区域(必须到公司才能连上VPN),从一定程度上也加强了安全性。

嗯,有人问我只能在办公室访问,那移动办公怎么办。其实这个根本不是问题……既然都装在路由上了,给需要的人发个路由器不完了,啥地方需要连入VPN那就放啥地方不完了,路由器又不大,买个小点的就完事了。

在路由器上安装TINC并不困难,tinc支持的操作系统和硬件非常多。本着耐艹实用的原则(随便断电随便摔,不怕发热启动快),最终采用如下方式:软件采用 OpenWRT,硬件采用 NetGear WDNR3800。

NetGear WDNR3800 就是下面这货,淘宝买的二手洋垃圾,饱经风霜的外观透露着沧桑和历史的厚重感……

MT7601方案,128+128,80MHZ的CPU,。NetGear 大厂出品,质量稳定。家里原来也一直用它,好多年了,除了停电的时候重启一下,平时没关心过。小型网络几十台机器这种配置的硬件足够了,未来不够了可以换成更高档的路由器,或者索性用PC DIY一个软路由。其实最主要的是……成本低……买这个才花了100不到,现在应该更便宜了。

买回来,刷好 Uboot,刷 OpenWRT,我刷的是17.01.5这个版本。然后开始配置:

嗯,有人问我只能在办公室访问,那移动办公怎么办。其实这个根本不是问题……既然都装在路由上了,给需要的人发个路由器不完了,啥地方需要连入VPN那就放啥地方不完了,路由器又不大。

results matching ""

    No results matching ""