Кліент VPN на роўтары супраць рэжыму сервера: што дазваляе кожны

Вы ўваходзіце ў роўтар, адкрываеце старонку VPN і бачыце дзве ўкладкі, якія выглядаюць як адна функцыя, апісаная двойчы: адна патрабуе файл профілю з іншага месца, другая патрабуе ад вас стварыць сертыфікаты і выбраць порт. Гэта не два выгляды адной налады. Адна роля прымушае роўтар званіць звонку, другая — адказваць, і адзін апарат можа рабіць і тое, і тое, не дапамагаючы адно аднаму. Вось як чытаць меню і вызначыць, на якім вы баку, перш чым нешта ўключыць.

Адкрыйце меню VPN і прачытайце назвы роляў

Пачынайце з загалоўкаў раздзелаў, а не з перамыкачоў. Укладка з назвай «кліент» або «падключыцца да службы VPN» чакае імпартаваны профіль, файл канфігурацыі або набор уліковых даных, выдадзеных кімсьці іншым. Укладка з назвай «сервер» чакае, што вы створыце ідэнтычнасці, выбераце пратакол і порт і звычайна экспартуеце профіль для кожнай прылады, якая будзе падключацца.

Стаўцеся да маркетынгавага радка на скрынцы як да непацверджанага, пакуль меню яму не адпавядае. «Падтрымка VPN» можа азначаць кліент, сервер, дапаможнік прапускання пратаколу, які толькі перасылае пакеты прыладзе за роўтарам, або ўласную праграму аддаленага доступу без якога-небудзь стандартнага профілю. Толькі дакументацыя прашыўкі адрознівае гэтыя выпадкі, а нумар мадэлі на налепцы — не.

Рэжым кліента: ваша лакальная сетка выходзіць праз чужы выхад

У рэжыме кліента роўтар паводзіць сябе як ноўтбук з праграмай VPN. Яму патрэбны сумяшчальны пратакол, профіль або ўліковыя даныя ад аддаленага аператара і рашэнне аб маршрутызацыі, якія прылады ніжэй павінны выкарыстоўваць тунель. Многія прашыўкі прапануюць спіс палітык, дзе вы называеце адрасы крыніц або інтэрфейсы, якія трэба адпраўляць праз тунель, а астатнія пакідаеце на звычайным злучэнні.

Часціна, якая моўчкі выходзіць з ладу, — гэта аддалены бок. Кантактны пункт, да якога вы падключаецеся, павінен перасылаць інтэрнэт-трафік за вас і забяспечваць зваротны шлях; гэта палітыка ў пастаўшчыка, а не налада на вашым роўтары. Меню, якое прапануе толькі рэжым сервера, не можа пабудаваць гэтую вонкавую паслугу, як бы яно ні было наладжана, а пастаўшчык, які падтрымлівае толькі сувязі «сайт—сайт», можа паспяхова злучыць тунель, але скідваць усё, што вы праз яго адпраўляеце.

Далей праверце, як тунель апрацоўвае DNS. Калі профіль прасоўвае рэзалютар, роўтар павінен перадаць гэты рэзалютар кліентам ніжэй; калі не, кліенты працягваюць выкарыстоўваць рэзалютар інтэрнэт-правайдэра і развязваюць імёны па-за тунелем, хаця пакеты ідуць унутры. Хуткая праверка з падключанага ноўтбука: адрас, які вы бачыце на старонцы рэха IP, павінен быць выхадам, а рэзалютар, які выкарыстоўваецца, павінен быць тым, што даў тунель.

Рэжым сервера: хтосьці іншы прыходзіць у вашу лакальную сетку

Рэжым сервера мяняе напрамак. Роўтар слухае, падарожная прылада падключаецца, і затым роўтар вырашае, якія хатнія рэсурсы гэтае злучэнне можа дасягнуць. Гэта роля, якую вы хочаце для NAS, лабараторнай машыны або прынтара, і ў яе ёсць умова, якой няма ў ролі кліента: нешта звонку павінна мець магчымасць дасягнуць слухача.

Менавіта на гэтай умове большасць хатніх установак застойваецца. Калі роўтар стаіць за ўласным шлюзам інтэрнэт-правайдэра, порт VPN трэба перанакіраваць з гэтага шлюза, або роўтар трэба перавесці ў рэжым моста ці DMZ. За NAT аператарскага ўзроўню няма ўваходнага порта, які можна перанакіраваць наогул, таму праект трэба змяніць: зыходны тунель ад роўтара да рэле, разгорнутага канцавога пункта або сеткавага прадукту. Сервер, да якога нельга дасягнуць, не наладжаны няправільна — ён недасягальны.

Ідэнтычнасці таксама адрозніваюцца ў залежнасці ад ролі. Хатні профіль кліента, які адпраўляе ўсё на платны выхад, — гэта адзін агульны сакрэт, а сервер, які дапускае тры тэлефоны і ноўтбук, патрабуе чатырох ідэнтычнасцей, якія вы можаце адазваць асобна. Сертыфікаты і ключы прывязаныя да прылады, і старонка экспарту роўтара павінна даць вам адзін файл на прыладу, а не адзін файл на ўсю сям’ю.

Праверце дакладную рэалізацыю, перш чым узяць абавязацельства

Дакументацыя Netgate па выбары ролі VPN падзяляе ролі такім чынам, і варта прачытаць адпаведную старонку для вашай прашыўкі, а не рабіць высновы з назваў укладак. Шукайце тры канкрэтныя факты: якія пратаколы можа выкарыстоўваць кліент, ці падтрымлівае сервер пратакол, які выкарыстоўваюць вашы прылады, і ці ахоплівае палітыка маршрутызацыі адрасы крыніц, цэлыя інтэрфейсы або наогул нічога.

Затым паглядзіце на мяжу падтрымкі. Спажывецкі роўтар з укладкай кліента, але без спісу палітык, адправіць кожную прыладу праз тунель; гэта добра для медыяпрыстасавання і дрэнна для працоўнага ноўтбука, якому патрэбны офісны тунель. Роўтар з укладкай сервера, але адным агульным профілем — разумны лабараторны інструмент і слабы выбар для сям’і, бо адазваць адну прыладу азначае змяніць канфігурацыю ўсіх.

Выберыце ролю па месцы, дзе пачынаецца трафік

Прайдзіце абраны радок ад пачатку да канца, перш чым змяняць што-небудзь яшчэ. Уключыце ролю, падключыце аднаго кліента, пацвердзіце адрас, пад якім ён з’яўляецца, пацвердзіце, які рэзалютар ён выкарыстоўвае, і пацвердзіце зваротны шлях у процілеглым напрамку. Калі ў роўтара ёсць таксама старонка міжсеткавага экрана, праверце, што новы інтэрфейс не заблакаваны правілам па змаўчанні, напісаным тады, калі тунеля яшчэ не было.

Калі даступныя абедзве ролі і патрабаванне сапраўды патрабуе абедзвюх, запусціце іх як асобныя функцыі з асобнай дакументацыяй. Адзін роўтар можа званіць звонку для тэлевізара і адначасова прымаць злучэнне тэлефона з NAS, але дзве палітыкі не павінны дзяліць падсетку, наладу DNS або зону міжсеткавага экрана, інакш першая змена, зробленая для адной, зламае другую.