Рэжым маста — гэта не пропуск VPN: што мяняе кожны з іх
Рэжым маста змяняе ролю маршрутызатара ў перадачы; пропуск толькі дазваляе VPN кліента прайсці праз яго. Ні адзін з іх не стварае тунель, таму яны не ўзаемазамяняльныя.
Рэжым маста і пропуск VPN згадваюцца ў адной тэме пошуку няспраўнасцей, бо абодва прапануюцца як рашэнне для VPN, які не падключаецца. Яны апісваюць розныя функцыі маршрутызатара, і ні адзін з іх сам па сабе не стварае тунель VPN. Маставанне змяняе тое, як прылада далучаецца да сегментаў сеткі або хто займаецца маршрутызацыяй; пропуск вырашае, ці можа трафік VPN кліента перасекчы шлюз. Няправільны выбар ператварае дробную праблему ў паўдня пераадрасацыі.
Дзве назвы, дзве розныя функцыі
Праверка простая: вы хочаце змяніць форму сеткі ці даць прайсці трафіку, які ўжо існуе? Гэта розныя запыты з рознымі наступствамі.
Параўнанне ў адной табліцы:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Толькі два апошнія ствараюць тунель на маршрутызатары. Маставанне і пропуск пакідаюць канцавы пункт у іншым месцы, таму ні адзін з іх не можа выправіць праблему, выкліканую адсутным кліентам або недасяжным серверам. Гэтае адрозненне лёгка страціць, бо налады стаяць побач у адным інтэрфейсе. Запішыце, які канцавы пункт валодае тунелем, перш чым адкрыць гэтую старонку.
Сцяжок пропуску таксама не з'яўляецца поўным апісаннем падтрымкі пратаколаў. Сучаснае праходжанне NAT у IPsec выкарыстоўвае стандартызаваную інкапсуляцыю UDP, а старыя дапаможныя функцыі маюць залежныя ад рэалізацыі паводзіны.
Маркетынгавая этыкетка з надпісам пра падтрымку VPN не ўказвае, якая з гэтых чатырох роляў маецца на ўвазе.
Што рэжым маста мяняе на вашай прыладзе
На мадэме або маршрутызатары опцыя маста звычайна пераносіць абавязкі маршрутызацыі і NAT на іншы шлюз ніжэй па плыні. На праграмнай прыладзе гэта можа азначаць аб'яднанне выбраных лакальных інтэрфейсаў у адзін шырокі дамен. Дакладны абсяг залежыць ад прадукту, таму чытайце дакументацыю да мадэлі, а не да слова. Абодва тлумачэнні змяняюць размеркаванне адрасоў, межы файрвола і спосаб доступу да адміністравання.
Менавіта таму маставанне — дрэнная першая рэакцыя на збой VPN. Вы можаце страціць шлях кіравання, пакуль зыходная праблема яшчэ не вырашана.
Захавайце рэзервовую копію канфігурацыі перад зменай ролі сеткі, бо адрасацыя можа перамясціцца разам з ёй.
Абярыце ролю раней за наладу
Каб вывесці хатні трафік праз знешні выхад, вам патрэбны сумяшчальны кліент VPN на маршрутызатары, а не мост. Каб падключыцца дадому з іншага месца, патрэбна роля сервера і шлях уверх па плыні, які можа да яго дасягнуць. Гэтыя два патрабаванні амаль не маюць агульнага, акрамя слова VPN. Вызначце, якое з іх вы будуеце, перш чым глядзець у меню.
Прылада можа падтрымліваць абедзве ролі і ўсё ж не падтрымліваць тую, што вам патрэбна, з чаканай хуткасцю.
Роля — гэта праектнае рашэнне; налада — яго следства.
Калі збайваецца толькі адзін пратакол
Калі адзін пратакол збайваецца за іншым працоўным маршрутызатарам, даследуйце спачатку транспарт і шлях NAT гэтага пратакола. Змяняць увесь рэжым шлюза, каб выправіць аднаго кліента, — тое ж самае, што перакладваць праводку ў доме праз зламаную лямпу. Праверце, ці інкапсуляваны трафік у UDP, ці датычыць дапаможная функцыя маршрутызатара гэтага пратакола і ці сіметрычны збой. Потым вырашыце, ці сапраўды апраўдана змена ролі.
RFC 3948 апісвае інкапсуляцыю UDP, дзякуючы якой IPsec праходзіць праз NAT, і гэта стандарт, які варта праверыць, перш чым давяраць сцяжку пропуску.
Запішыце, што вы змянілі і чаму, бо наступны чалавек знойдзе прыладу ў рэжыме маста і выкажа здагадку, што гэта было наўмысна. Правільны вынік — сетка, форму якой выбралі вы, а не тая, якую вы атрымалі ў спадчыну ад сеансу пошуку няспраўнасцей.