Праверце ролю кліента на роўтары перад імпартам профілю VPN

Старонка спецыфікацый з лагатыпам VPN кажа, што скрынка можа нешта рабіць з VPN. Яна не кажа, што прашыўка можа выступаць кліентам для пратакола ў файле, які вы трымаеце. Гэта розныя магчымасці з рознымі патрабаваннямі, і прамежак паміж імі — месца, дзе большасць такіх купляў ідзе не так. Праверце ролю раней за брэнд.

Чатыры праверкі ператвараюць спіс функцый у адказ.

Лагатып VPN — не заява пра магчымасці

Роўтары рэкламуюць падтрымку VPN прынамсі ў трох сэнсах: транзіт для трафіку з іншых прылад, сервер, які прымае ўваходныя тунэлі, і кліент, які ініцыюе зыходны тунэль. Толькі трэці спажывае профіль, які вы спампавалі. Транзіт IPsec у прыватнасці — гэта памочнік NAT, а не канчатковы пункт, і ён з'яўляецца на прыладах, якія ўвогуле не могуць завяршаць або ініцыяваць IPsec.

Спытайце, якая роля патрэбна файлу, затым спытайце, ці ёсць гэтая роля ў версіі прашыўкі на прыладзе.

Чытайце спіс функцый для той прашыўкі, якая ў вас насамрэч

Назвы мадэляў — не версіі прашыўкі, і кіраўніцтва, напісанае для папярэдняга буйнога выпуску, апісвае іншы набор функцый. На OpenWrt на пытанне можна адказаць з абалонкі: opkg list-installed | grep -E "openvpn|wireguard" паказвае, ці ёсць кліенцкія пакеты, а модуль ядра WireGuard асобны ад інструментаў прасторы карыстальніка. На прыладзе пастаўшчыка чытайце заўвагі да выпуску ўсталяванай зборкі, а не маркетынгавую старонку мадэлі.

Калі магчымасць пастаўляецца як пакет, пацвердзіце, што ён усталяваны, а не проста даступны ў рэпазітары.

Супастаўце фармат профілю з імпартарам

Профіль OpenVPN — гэта мова дырэктыў. Файл партнёра WireGuard — гэта INI з прыватным ключом і спісам дазволеных IP. Уліковыя даныя IKEv2 — гэта сертыфікат або імя карыстальніка плюс ідэнтычнасць сервера. Форма роўтара, якая прымае адну з іх, не пераўтворыць іншыя, а кнопка імпарту, што заяўляе пра прыём чаго заўгодна, заслугоўвае падазрэння.

Адкрыйце файл і прачытайце першыя дзесяць радкоў. Гэта скажа вам, які імпартар патрэбны, раней за любое меню.

Праверце опцыі, якія профіль насамрэч выкарыстоўвае

Падтрымка пратакола — гэта не падтрымка вашага профілю. Паглядзіце на дырэктывы, якія нясуць уласцівасці бяспекі: убудаваныя сертыфікаты, tls-crypt або tls-auth, выбар шыфра і шыфра даных, сцісканне і скрыптавыя хукi. Рэалізацыя на роўтары можа прыняць файл і моўчкі праігнараваць дырэктыву, якую яна не выконвае, што дае тунэль, які злучаецца і паводзіць сябе інакш, чым на вашым ноўтбуку.

Небяспечны вынік — не адхілены імпарт. Гэта прыняты імпарт, які ціха нешта страціў.

Тэстуйце палітыку, а не толькі рукапацісканне

Вырашыце, што павінна несці злучэнне: адзін сегмент ці кожная прылада, які рэзалвер DNS, ці ўваходзіць IPv6 у тунэль або застаецца лакальным, і што адбываецца, калі тунэль падае. Гэта асобныя функцыі ад усталявання, і менавіта тут роўтар найбольш адрозніваецца ад настольнага кліента. Трымайце лакальнае адміністраванне дасяжным падчас тэставання, інакш першая памылка маршрутызацыі каштуе вам фізічнага доступу.

Завершанае рукапацісканне — гэта пачатак праверкі. Адпраўце рэальны трафік да рэальнага пункта прызначэння і праверце зваротны шлях.