Режим на мост не е пропускане на VPN: какво променя всяко от двете
Режимът на мост променя ролята на рутера при препращане; пропускането само позволява на VPN на клиента да го премине. Нито едно от двете не създава тунел, затова не са взаимозаменяеми.
Режимът на мост и пропускането на VPN се споменават в една и съща тема за отстраняване на проблеми, защото и двете се предлагат като решение за VPN, който не се свързва. Те описват различни функции на рутера и нито едно от двете само по себе си не създава VPN тунел. Мостовото свързване променя начина, по който устройството се присъединява към мрежови сегменти, или кой извършва маршрутизирането; пропускането решава дали трафикът на VPN клиента може да премине през шлюз. Грешният избор превръща малък проблем в цял следобед преназначаване на адреси.
Два етикета, две различни функции
Проверката е проста: опитвате се да промените формата на мрежата или да позволите на вече съществуващ трафик да премине през нея? Това са различни искания с различни последствия.
Сравнението в една таблица:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Само последните две създават тунел на рутера. Мостът и пропускането оставят крайната точка някъде другаде и затова нито едно от двете не може да реши проблем, причинен от липсващ клиент или недостъпен сървър. Тази разлика лесно се губи, защото настройките стоят близо една до друга в един и същ интерфейс. Запишете коя крайна точка притежава тунела, преди да отворите тази страница.
Отметката за пропускане също не е пълно описание на поддръжката на протоколи. Съвременното преминаване през NAT при IPsec използва стандартизирано капсулиране в UDP, докато по-старите помощни функции имат поведение, зависещо от реализацията.
Маркетингов етикет, който твърди поддръжка на VPN, не ви казва коя от тези четири роли означава.
Какво променя режимът на мост на вашето устройство
При модем или рутер опцията за мост обикновено премества отговорностите по маршрутизиране и NAT към друг шлюз надолу по веригата. При софтуерно устройство това може да означава обединяване на избрани локални интерфейси в един широкомощен домейн. Точният обхват зависи от продукта, затова четете документацията за модела, а не за думата. И двете тълкувания променят назначаването на адреси, границите на защитната стена и начина, по който достигате до администрирането.
Именно затова мостовото свързване е лош пръв отговор на повреда във VPN. Можете да загубите пътя за управление, докато първоначалният проблем все още не е решен.
Пазете резервно копие на конфигурацията, преди да промените ролята на мрежата, защото адресирането може да се премести заедно с нея.
Изберете ролята преди настройката
За да изпратите домашен трафик през външен изход, ви трябва съвместим VPN клиент на рутера, а не мост. За да се свържете обратно вкъщи от друго място, ви трябва ролята на сървър плюс път нагоре по веригата, който може да го достигне. Тези две изисквания почти нямат общо освен думата VPN. Решете кое от двете изграждате, преди да погледнете меню.
Едно устройство може да поддържа и двете роли и пак да не поддържа тази, която ви трябва, с темпото, което очаквате.
Ролята е проектно решение; настройката е негово следствие.
Ако се проваля само един протокол
Когато един протокол се проваля зад иначе работещ рутер, първо изследвайте транспорта и пътя през NAT на този протокол. Смяната на целия режим на шлюза, за да поправите един клиент, е равносилна на преокабеляване на къща заради счупена лампа. Проверете дали трафикът е капсулиран в UDP, дали помощната функция на рутера се отнася за този протокол и дали повредата е симетрична. След това решете дали смяна на ролята е наистина оправдана.
RFC 3948 описва капсулирането в UDP, което позволява на IPsec да преживее NAT, и това е стандартът, който трябва да проверите, преди да се доверите на отметка за пропускане.
Записвайте какво сте променили и защо, защото следващият човек ще намери устройството в режим на мост и ще предположи, че е било умишлено. Правилният резултат е мрежа, чиято форма сте избрали вие, а не такава, която сте наследили от сесия за отстраняване на проблеми.