Тэлефон застаўся без VPN? Тунель на роўтары або кліент на кожнай прыладзе

Наўтбук падключаны да VPN, тэлефон у той жа сетцы Wi-Fi, і ўсё ж тэлефон выходзіць у інтэрнэт з адраса ISP. Гэта не памылка кліента: тунель жыве на машыне, якая яго завяршае, і нішто іншае не ўспадкоўвае яго праз блізкасць. Пакрыццё пашыраецца толькі тады, калі роўтар сам запускае кліента, або калі машыну наўмысна ператвараюць у шлюз для LAN. Якую мадэль выбраць, вырашаюць тры рэчы: пратакол, на якім ваш правайдар сапраўды гаворыць, наколькі па-рознаму трэба апрацоўваць прылады і які збой вы вытрымаеце ў дзевяць вечара.

Што насамрэч ахоплівае тунель на роўтары

Калі тунель завяршаецца на роўтары, кожная прылада, якая маршрутызуе праз яго, дзеліць выхад. У гэтым прывабнасць для тэлевізара, кансолі ці апарата, які ніколі не запусціць кліент: нічога ўсталёўваць, нічога падтрымліваць у актуальным стане і адно месца для змены правайдара.

Пакрыццё ўмоўнае такімі спосабамі, якія здзіўляюць людзей. Гасцявая сетка або другі SSID з уласнай палітыкай ідзе шляхам, які вызначае гэтая палітыка, а не тунелем. Шлях IPv6 можа абыйсці тунель, які нясе толькі IPv4. Прылада з уласным дадаткам VPN або ўласным зашыфраваным рэзалверам цалкам ігнаруе роўтар. А ўласны трафік роўтара, уключаючы абнаўленні і DNS, трымаецца яго палітыкі выхаду, якая з'яўляецца іншым шляхам, чым перасылаемы трафік LAN.

Праверка аднолькавая ў абедзвюх мадэлях і займае хвіліну: спытайце дзве прылады, які адрас бачыць свет, а потым паглядзіце ў спісе злучэнняў роўтара тунель. Калі тэлефон паведамляе адрас ISP, пакуль роўтар паказвае ўсталяваны тунель, тэлефон не маршрутызуецца праз яго, і ніякае перападключэнне гэтага не зменіць.

Дзе выйграе кліент на кожнай прыладзе

Кліенты на кожнай прыладзе выйграваюць, як толькі патрабаванні разыходзяцца. Працоўнаму наўтбуку можа спатрэбіцца карпаратыўны тунель, у які тэлефон не павінен уваходзіць; кліент правайдара можа прапаноўваць падзелены тунель па дадатку, чаго роўтар не ўмее выразіць; кансолі, магчыма, трэба застацца ззвонку, каб захаваць свой тып NAT. Кожная прылада таксама адмаўляе сама па сабе, таму адна пратэрмінаваная падпіска не заглушае ўвесь дом.

Уліковыя даныя — вастрэйшы аргумент. Роўтар, які падключаецца ад імя ўсіх, трымае адзін акаўнт, і кожны чалавек у гэтай сетцы ўспадкоўвае яго доступ. Калі мэта — аўтэнтыфікацыя кожнага чалавека перад доступам у інтэрнэт, адзін тунель на роўтары гэтага не можа. Звычайнае рашэнне — captive-партал, які правярае акаўнт і потым выпускае кліента ў ужо ўсталяваны тунель, а гэта больш рухомых частак, чым хоча большасць дамоў.

Падтрымка пратаколаў вырашае больш выпадкаў, чым перавага

Спажывецкія роўтары даюць толькі тыя пратаколы, якія паставіў вытворца. Роўтар з PPTP, L2TP або звычайным IPsec не можа падключыцца да правайдара, які публікуе толькі профілі OpenVPN або WireGuard, і ніякая налада гэтага не зменіць. Сумленныя варыянты — правайдар, які гаворыць на падтрымліваным пратаколе, роўтар з OpenWrt або іншай прашыўкай і патрэбным кліентам, або кліент на кожнай прыладзе.

Зваротны выпадак таксама часты: роўтар з падтрымкай OpenVPN не можа выкарыстоўваць правайдара, чыя паслуга залежыць ад уласнага кліента і яго ўласных трукаў маршрутызацыі. Прачытайце старонку правайдара пра падтрымліваныя пратаколы да куплі абсталявання і праверце версію прашыўкі, бо «падтрымлівае WireGuard» на старонцы прадукту часта азначае адно пэўнае пакаленне прашыўкі.

Дарожны роўтар з кліентам WireGuard — танны варыянт мадэлі з роўтарам і разумны адказ для некалькіх прылад, якія не могуць запусціць кліент. Гэта ўсё яшчэ тунель на роўтары, таму ўсё сказанае вышэй пра гасцявыя сеткі, IPv6 і супольны збой дзейнічае без змяненняў.

Трэці варыянт: машына як шлюз

Дзяліцца кліентам з наўтбука можна, і гэта звычайна і маюць на ўвазе, калі кажуць, што ператварылі наўтбук у роўтар.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Гэта працуе, пакуль машына не засне, кліент не перападключыцца ў іншы профіль або ўласны брандмаўэр машыны не адкіне перасылаемыя пакеты. Тады ўсё за ёй губляе сувязь адразу, і збой выглядае як мёртвая сетка, а не як праблема VPN.

Для лабараторыі або часовай налады гэта нармальна. Як пастаяннае рашэнне ён робіць адзін наўтбук адзінай кропкай адмовы домагаспадаркі, і звычайна заканчваецца тым, што нехта здзіўляецца, чаму тэлевізар перастаў працаваць, калі закрыўся вечка.

Уваходныя порты, DNS і супольны збой

Уваходныя службы перамяшчаюцца разам з тунелем. VPN на роўтары звычайна ламае перанакіраванне портаў для сервера ў LAN, а дынамічнае імя DNS павінна паказваць на выхад VPN, а не на адрас ISP, калі служба павінна быць даступная праз тунель. Некаторыя правайдары наогул не прапануюць маршрутызаваны ўваходны адрас, што ціха завяршае любы план, які на яго абапіраўся.

DNS ідзе за роўтарам, калі роўтар валодае тунелем, што зручна, пакуль адной прыладзе не спатрэбіцца іншы рэзалвер. Кліент на кожнай прыладзе можа гэта выразіць; палітыка роўтара не можа без падзелу сеткі на дзве. Збой таксама супольны, бо адзін збой, адна пратэрмінаваная падпіска або адзін дрэнны прасунуты маршрут адключаюць кожную прыладу ў той самы момант.

Выберыце мадэль з роўтарам, калі прылады не могуць запускаць кліенты і адзін выхад прымальны. Выберыце кліенты на кожнай прыладзе, калі палітыкі розныя, калі правайдару патрэбны пратакол, якога роўтар не мае, або калі акаўнт нельга дзяліць. Калі машына — шлюз, запішыце, які інтэрфейс дзеліць якую сетку, і праверце выпадак «тунель упаў», бо менавіта ў гэтым стане большасць такіх схем выяўляюцца памылковымі.