VPN на роўтары ці VPN на прыладзе: што чым пакрываецца

Тунэль на роўтары пакрывае кожную прыладу, якая ім карыстаецца, а праграма на прыладзе ідзе за вамі. Пакрыццё, абслугоўванне і паводзіны пры збоі вызначаюць, што вам патрэбна.

Змясціць тунэль на роўтар здаецца больш ахайным выбарам, пакуль ноўтбук не выйдзе з дому. Праграма на прыладзе здаецца прасцейшай, пакуль тэлевізару не спатрэбіцца пакрыццё, а запусціць яе ён не можа. Дзве схемы адказваюць на розныя пытанні. Карыснае параўнанне тычыцца таго, дзе трафік уваходзіць у тунэль, а не таго, што з іх бяспечней.

Якую ролю выконвае роўтар

Роўтар можа быць VPN-серверам для тых, хто падключаецца з дому, кліентам для доступу да знешняга сэрвісу або абедзвюма ролямі адначасова. Гэта асобныя функцыі з асобнымі старонкамі налад, і сервер сам па сабе нікуды нічога не адпраўляе. Хатні прагляд мяняе выхад толькі тады, калі кліент наладжаны з сумяшчальным профілем. Чытанне ролі да пратакола зэканоміць бессэнсоўную пасляабедзенную гадзіну.

Назвы функцый таксама не робяць пратаколы ўзаемазаменнымі. Пункт меню з назвай VPN нічога не кажа пра тое, што чакае іншы бок.

Дзе трафік уваходзіць у тунэль

Роўтар прымяняе сваю палітыку да трафіку, які перасякае інтэрфейсы і правілы, якімі ён валодае, таму гасцявы Wi-Fi, другая брама ці IPv6 могуць паводзіць сябе інакш, чым асноўная сетка. Праверце прылады, якія збіраецеся пакрыць, праверкай публічнага адрасу, замест таго каб меркаваць, што ўвесь дом уключаны. Трафік таксама перасякае лакальную сетку, перш чым дасягнуць роўтара, таму бяспека Wi-Fi і ўласны HTTPS праграмы па-ранейшаму нясуць звычайную вагу. Тунэль пачынаецца на браме, а не на прыладзе.

Па-за домам карціна цалкам змяняецца, бо тэлефон на мабільных даных ужо не знаходзіцца за гэтым роўтарам. Ноўтбук на Wi-Fi у кавярні патрабуе ўласнага кліента, калі патрабаванне ідзе за чалавекам, а не за будынкам. Нішто з таго, што робіць роўтар, не падарожнічае з прыладай пасля яе выхаду.

Менавіта гэтае раздзяленне вырашае большасць выпадкаў: пакрыццё стацыянарных прылад схіляе да роўтара, а пакрыццё чалавека схіляе да праграмы. Усё, што змешвае абое, патрабуе і таго, і другога, а абодва патрабуюць абслугоўвання.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Узважце абслугоўванне і ідэнтычнасць

Наладка роўтара пераносіць сакрэты, абнаўленні прашыўкі і палітыку маршрутызацыі на адміністратара брамы і, як правіла, дае кожнай ахопленай прыладзе адну супольную ідэнтычнасць. Праграма дае кожнай прыладзе ўласны ўваход, уласныя журналы і ўласны профіль, цаной кіравання большай колькасцю кліентаў. Супольная і паасобная ідэнтычнасць — розныя прапановы, калі нешта трэба адазваць.

Прадукцыйнасць апрацоўкі таксама тут, бо роўтар, які абслугоўвае некалькі карыстальнікаў, можа дасягнуць мяжы задоўга да таго, як гэта падказвае яго рэйтынг Wi-Fi. Звычайны лік прапускной здольнасці на скрынцы не з’яўляецца лікам прапускной здольнасці тунэля.

Вызначце таксама, што павінна адбыцца, калі тунэль адмовіць. Спыненне трафіку і вяртанне да звычайнага злучэння — абодва варыянты апраўданыя, і налады DNS і брандмаўэра мусяць адпавядаць абранаму.

Падрыхтуйцеся да перапынку

Трымайце бяспечную рэзервовую копію налад брамы і спосаб аднавіць адміністраванне, які не залежыць ад працы тунэля. Палітыка, якая замыкае вас па-за вашым уласным роўтарам, — цяжэйшая праблема, чым уцечка, якую яна мела прадухіліць.

Абсталяванне, якім кіруе праца, можа патрабаваць уласнага зацверджанага кліента незалежна ад таго, што робіць хатні роўтар. Хатні выхад не можа забяспечыць доступ да офіснай сеткі, што б ні казала табліца маршрутызацыі.

Спалучаць абедзве схемы можна і часам правільна, але кожны дадатковы шлях — гэта яшчэ адно, што трэба наладзіць і дыягнаставаць. Дакументацыя OpenWrt пра ролі VPN-сервера і кліента — карысная даведка, каб трымаць адно асобна ад другога.

Падобныя артыкулы