وضع عميل VPN على الموجّه مقابل وضع الخادم: ماذا يتيح كل منهما

تسجّل الدخول إلى الموجّه، وتفتح صفحة VPN، فتجد علامتي تبويب تبدوان وكأنهما الميزة نفسها موصوفة مرتين: إحداهما تطلب ملف تعريف من مكان آخر، والأخرى تطلب منك إنشاء شهادات واختيار منفذ. ليسا وجهين لإعداد واحد. أحد الدورين يجعل الموجّه يتصل بالخارج، والآخر يجعله يجيب، ويمكن لجهاز واحد أداء الدورين دون أن يساعد أحدهما الآخر. وفيما يلي كيفية قراءة القائمة وتحديد الجانب الذي أنت عليه قبل تفعيل أي شيء.

افتح قائمة VPN واقرأ أسماء الأدوار

ابدأ بعناوين الأقسام لا بالمفاتيح. علامة التبويب المسماة عميل أو “اتصال بخدمة VPN” تتوقع ملفًا شخصيًا مستوردًا أو ملف إعدادات أو مجموعة بيانات اعتماد أصدرها شخص آخر. وعلامة التبويب المسماة خادم تتوقع منك إنشاء الهويات واختيار بروتوكول ومنفذ، وتصدير ملف تعريف لكل جهاز سيتصل عادةً.

اعتبر العبارة التسويقية على العلبة غير مؤكدة حتى تطابقها القائمة. قد تعني “دعم VPN” عميلًا أو خادمًا أو مساعد تمرير بروتوكول يمرر الحزم فقط إلى جهاز خلف الموجّه، أو تطبيق وصول بعيد خاص بلا ملف تعريف قياسي على الإطلاق. توثيق البرنامج الثابت هو المكان الوحيد الذي يميز بين هذه الحالات، ورقم الطراز على الملصق لا يفعل ذلك.

وضع العميل: شبكتك المحلية تخرج عبر مخرج شخص آخر

في وضع العميل يتصرف الموجّه كحاسوب محمول يشغّل تطبيق VPN. يحتاج إلى بروتوكول متوافق، وملف تعريف أو بيانات اعتماد من المشغّل البعيد، وقرار توجيه بشأن الأجهزة المتصلة بالأسفل التي تستخدم النفق. تقدم كثير من البرامج الثابتة قائمة سياسات تسمّي فيها عناوين المصدر أو الواجهات التي يجب إرسالها عبر النفق وتترك الباقي على الاتصال العادي.

الجزء الذي يفشل بصمت هو الجانب البعيد. يجب أن تعيد نقطة النهاية التي تتصل بها توجيه حركة الإنترنت نيابةً عنك وتوفر مسار عودة، وهذا سياسة عند المزوّد لا إعداد على الموجّه. القائمة التي تقدم وضع الخادم فقط لا تستطيع بناء هذه الخدمة الصادرة مهما ضُبطت، والمزوّد الذي يدعم روابط الموقع إلى الموقع فقط قد يوصل النفق بنجاح بينما يُسقط كل ما ترسله عبره.

تحقق بعد ذلك من طريقة تعامل النفق مع DNS. إذا دفع ملف التعريف محددًا، فينبغي أن يمرر الموجّه ذلك المحدد إلى العملاء المتصلين؛ وإن لم يفعل، يظل العملاء يستخدمون محدد مزوّد الخدمة ويحلّون الأسماء خارج النفق رغم أن الحزم تمر داخله. فحص سريع من حاسوب متصل: يجب أن يكون العنوان الذي تراه في صفحة صدى IP هو المخرج، ويجب أن يكون عنوان المحدد المستخدم هو الذي وفره النفق.

وضع الخادم: شخص آخر يصل إلى شبكتك المحلية

يعكس وضع الخادم الاتجاه. يستمع الموجّه، ويتصل الجهاز المسافر، ثم يقرر الموجّه أي موارد المنزل يمكن لهذا الاتصال الوصول إليها. هذا هو الدور الذي تريده لخادم NAS أو جهاز مختبر أو طابعة، وله شرط مسبق لا يوجد في دور العميل: يجب أن يستطيع شيء في الخارج الوصول إلى المستمع.

هذا الشرط المسبق هو ما تتعثر عنده معظم الإعدادات المنزلية. إذا كان الموجّه خلف بوابة مزوّد الخدمة نفسها، فيجب تمرير منفذ VPN من تلك البوابة، أو وضع الموجّه في نمط الجسر أو DMZ. خلف NAT من فئة الناقل لا يوجد منفذ وارد لتمريره إطلاقًا، لذا يجب أن يتغير التصميم: نفق صادر من الموجّه إلى مُرحّل أو نقطة نهاية مستضافة أو منتج شبكي. الخادم الذي لا يمكن الوصول إليه ليس مضبوطًا خطأً، بل هو غير قابل للوصول.

تختلف الهويات حسب الدور أيضًا. ملف تعريف العميل المنزلي الذي يرسل كل شيء إلى مخرج مدفوع هو سر مشترك واحد، بينما يحتاج الخادم الذي يسمح بثلاثة هواتف وحاسوب محمول إلى أربع هويات يمكنك سحبها كل واحدة على حدة. الشهادات والمفاتيح خاصة بكل جهاز، وينبغي أن تعطيك صفحة التصدير في الموجّه ملفًا لكل جهاز بدلًا من ملف واحد للمنزل.

تحقق من التنفيذ الدقيق قبل الالتزام

تشرح وثائق Netgate حول اختيار دور VPN الأدوار بهذه الطريقة، ويستحق الأمر قراءة الصفحة المكافئة لبرنامجك الثابت بدلًا من استنتاجها من أسماء التبويبات. ابحث عن ثلاث حقائق ملموسة: البروتوكولات التي يستطيع العميل التحدث بها، وهل يدعم الخادم البروتوكول الذي تستخدمه أجهزتك، وهل تغطي سياسة التوجيه عناوين المصدر أو الواجهات كاملة أو لا تغطي شيئًا على الإطلاق.

ثم انظر إلى حد الدعم. الموجّه الاستهلاكي الذي يملك علامة تبويب عميل بلا قائمة سياسات سيرسل كل جهاز عبر النفق، وهذا مقبول لجهاز بث وخاطئ لحاسوب عمل يحتاج نفق المكتب. والموجّه الذي يملك علامة تبويب خادم مع ملف تعريف مشترك واحد أداة مختبر معقولة وخيار سيئ لأسرة، لأن سحب جهاز واحد يعني تغيير إعدادات الجميع.

اختر الدور بحسب مكان بدء حركة المرور

امشِ على الصف المختار من أوله إلى آخره قبل أن تغيّر أي شيء آخر. فعّل الدور، واربط عميلًا واحدًا، وتأكد من العنوان الذي يظهر به، وتأكد من المحدد الذي يستخدمه، وتأكد من مسار العودة في الاتجاه المعاكس. وإذا كان للموجّه صفحة جدار حماية أيضًا، فتحقق من أن الواجهة الجديدة غير محجوبة بقاعدة افتراضية كُتبت عندما لم يكن النفق موجودًا.

عندما يتوفر الدوران وتكون الحاجة إليهما حقيقية، شغّلهما كميزتين منفصلتين بتوثيق منفصل. يمكن لموجّه واحد أن يتصل بالخارج من أجل التلفاز ويقبل اتصال هاتف بخادم NAS في الوقت نفسه، لكن يجب ألا تتشارك السياستان شبكة فرعية أو إعداد DNS أو منطقة جدار حماية، وإلا فإن أول تغيير تجريه لأحدهما سيكسر الآخر.