VPN-kliënt op die router teenoor bediener-modus: wat elkeen moontlik maak

Jy meld by die router aan, maak die VPN-bladsy oop en sien twee oortjies wat soos dieselfde funksie twee keer beskryf lyk: die een wil ’n profiellêer van elders hê, die ander wil hê jy moet sertifikate skep en ’n poort kies. Dit is nie twee aansigte van een instelling nie. Een rol laat die router uitbel, die ander laat dit antwoord, en ’n boks kan albei doen sonder dat die een die ander help. Hier is hoe om die kieslys te lees en te besluit aan watter kant jy is voordat jy enigiets aktiveer.

Maak die VPN-kieslys oop en lees die rolname

Begin by die afdelingsopskrifte eerder as by die skakelaars. ’n Oortjie gemerk kliënt of “verbind met ’n VPN-diens” verwag ’n ingevoerde profiel, ’n konfigurasielêer of ’n stel geloofsbriewe wat iemand anders uitgereik het. ’n Oortjie gemerk bediener verwag dat jy die identiteite skep, ’n protokol en ’n poort kies, en gewoonlik ’n profiel vir elke toestel wat gaan koppel, uitvoer.

Behandel die bemarkingsreël op die boks as onbevestig totdat die kieslys daarby pas. “VPN ondersteun” kan ’n kliënt beteken, ’n bediener, ’n protokol-deurvoerhulp wat slegs pakkette na ’n toestel agter die router aanstuur, of ’n eie afstandtoegang-app sonder enige standaardprofiel. Die firmware-dokumentasie is die enigste plek wat daardie gevalle onderskei, en die modelnommer op die plakker nie.

Kliëntmodus: jou LAN verlaat deur iemand anders se uitgang

In kliëntmodus gedra die router hom soos ’n skootrekenaar wat ’n VPN-app dra. Dit het ’n versoenbare protokol nodig, ’n profiel of geloofsbriewe van die afgeleë operateur, en ’n roetebesluit oor watter stroomaf toestelle die tonnel gebruik. Baie firmwares bied ’n beleidslys waar jy die bronadresse of koppelvlakke noem wat deur die tonnel gestuur moet word en die res op die normale verbinding laat.

Die deel wat stil faal, is die afgeleë kant. Die eindpunt waaraan jy koppel, moet internetverkeer vir jou aanstuur en ’n terugpad verskaf, en dit is ’n beleid by die verskaffer, nie ’n instelling op jou router nie. ’n Kieslys wat net bediener-modus bied, kan nie hierdie uitwaartse diens bou nie, maak nie saak hoe dit opgestel is nie, en ’n verskaffer wat net werf-tot-werf-skakels ondersteun, kan die tonnel suksesvol koppel terwyl dit alles wat jy daardeur stuur, laat val.

Kyk volgende na die tonnel se DNS-hantering. As die profiel ’n oplosser stoot, moet die router daardie oplosser aan stroomaf kliënte gee; as dit nie doen nie, hou kliënte die ISP-oplosser gebruik en los name buite die tonnel op, selfs al gaan die pakkette binne. ’n Vinnige toets vanaf ’n gekoppelde skootrekenaar: die adres wat jy op ’n IP-eggoblad sien, moet die uitgang wees, en die oplosseradres wat gebruik word, moet die een wees wat die tonnel verskaf het.

Bediener-modus: iemand anders kom in jou LAN in

Bediener-modus draai die rigting om. Die router luister, die reisende toestel koppel, en die router besluit dan watter tuisbronne daardie verbinding mag bereik. Dit is die rol wat jy wil hê vir ’n NAS, ’n laboratoriummasjien of ’n drukker, en dit het ’n voorwaarde wat die kliëntrol nie het nie: iets buite moet die luisteraar kan bereik.

Daardie voorwaarde is waar die meeste tuisopstellings vasdraai. As die router agter die ISP se eie poort is, moet die VPN-poort van daardie poort af aangestuur word, of die router moet in ’n brug- of DMZ-modus geplaas word. Agter carrier-grade NAT is daar glad geen inkomende poort om aan te stuur nie, so die ontwerp moet verander: ’n uitwaartse tonnel van die router na ’n aflos, ’n gehoste eindpunt of ’n maasproduk. ’n Bediener wat nie bereik kan word nie, is nie verkeerd opgestel nie, dit is onbereikbaar.

Identiteite verskil ook per rol. ’n Huishoudelike kliëntprofiel wat alles na ’n betaalde uitgang stuur, is een gedeelde geheim, terwyl ’n bediener wat drie selfone en ’n skootrekenaar toelaat, vier identiteite nodig het wat jy afsonderlik kan herroep. Sertifikate en sleutels is per toestel, en die router se uitvoerblad moet jou een lêer per toestel gee eerder as een lêer vir die huishouding.

Kontroleer die presiese implementering voordat jy toesê

Netgate se dokumentasie oor die keuse van ’n VPN-rol skei die rolle op hierdie manier, en dit is die moeite werd om die ekwivalente bladsy vir jou firmware te lees eerder as om dit uit die oortjie-name af te lei. Soek drie konkrete feite: watter protokolle die kliënt kan praat, of die bediener die protokol ondersteun wat jou toestelle gebruik, en of die roetebeleid bronadresse, hele koppelvlakke of glad niks dek.

Kyk dan na die ondersteuningsgrens. ’n Verbruikersrouter met ’n kliënt-oortjie maar geen beleidslys nie, sal elke toestel deur die tonnel stuur, wat goed is vir ’n stromingsboks en verkeerd vir ’n werkskootrekenaar wat die kantoor-tonnel nodig het. ’n Router met ’n bediener-oortjie maar ’n enkele gedeelde profiel is ’n redelike laboratoriuminstrument en ’n swak keuse vir ’n gesin, want om een toestel te herroep beteken om almal se konfigurasie te verander.

Kies die rol op grond van waar die verkeer begin

Stap die gekose ry van begin tot end deur voordat jy enigiets anders verander. Aktiveer die rol, koppel een kliënt, bevestig die adres waarop dit verskyn, bevestig watter oplosser dit gebruik, en bevestig die terugpad in die teenoorgestelde rigting. As die router ook ’n brandmuurblad het, kyk of die nuwe koppelvlak nie deur ’n standaardreël geblokkeer word wat geskryf is toe die tonnel nie bestaan het nie.

Wanneer albei rolle beskikbaar is en die vereiste werklik albei is, bedryf hulle as aparte funksies met aparte dokumentasie. Een router kan vir die televisie uitbel en terselfdertyd ’n selfoonverbinding na die NAS aanvaar, maar die twee beleide mag nie ’n subnet, ’n DNS-instelling of ’n brandmuursone deel nie, anders sal die eerste verandering wat jy vir een maak die ander breek.