Телефонът извън VPN? Тунел на рутера или клиент на всяко устройство

Лаптопът е свързан към VPN, телефонът е в същата Wi-Fi мрежа и въпреки това телефонът сърфира от адреса на ISP. Това не е дефект на клиента: тунелът живее на машината, която го прекратява, и нищо друго не го наследява по близост. Покритието се разпространява само когато рутерът сам стартира клиента, или когато машина бъде нарочно превърната в шлюз за LAN. Кой модел искате, решават три неща: протоколът, който вашият доставчик наистина говори, колко различно трябва да се третират устройствата и кой отказ можете да понесете в девет вечерта.

Какво всъщност покрива тунелът на рутера

Когато тунелът завършва на рутера, всяко устройство, което маршрутизира през него, споделя изхода. Това е привлекателното за телевизор, конзола или уред, който никога няма да стартира клиент: нищо за инсталиране, нищо за поддържане в актуално състояние и едно място за смяна на доставчика.

Покритието е условно по начини, които изненадват хората. Гостева мрежа или втори SSID със собствена политика следва пътя, който тази политика определя, а не тунела. Път IPv6 може да заобиколи тунел, който пренася само IPv4. Устройство със собствено VPN приложение или собствен криптиран resolver напълно игнорира рутера. А собственият трафик на рутера, включително актуализации и DNS, следва неговата изходна политика, която е различен път от препратения трафик на LAN.

Проверката е еднаква в двата модела и отнема минута: попитайте две устройства какъв адрес вижда светът и после погледнете в списъка с връзки на рутера за тунела. Ако телефонът съобщава адреса на ISP, докато рутерът показва установен тунел, телефонът не се маршрутизира през него и никакво повторно свързване няма да промени това.

Къде печели клиентът на всяко устройство

Клиентите на всяко устройство печелят веднага щом изискванията се разминат. Работен лаптоп може да се нуждае от корпоративен тунел, в който телефонът не бива да влиза; клиент на доставчик може да предлага разделен тунел по приложение, което рутерът не може да изрази; конзола може да трябва да остане отвън, за да запази своя NAT тип. Всяко устройство се проваля и самостоятелно, така че един изтекъл абонамент не заглушава целия дом.

Идентификационните данни са по-острият аргумент. Рутер, който се свързва от името на всички, държи един акаунт и всеки човек в тази мрежа наследява достъпа му. Ако намерението е удостоверяване на всеки човек преди достъп до интернет, тунелът на рутера сам по себе си не може да го направи. Обичайният дизайн е captive портал, който валидира акаунта и после пуска клиента в вече установен тунел, което са повече движещи се части, отколкото повечето домакинства искат.

Поддръжката на протоколи решава повече случаи от предпочитанието

Потребителските рутери показват само протоколите, които производителят е доставил. Рутер с PPTP, L2TP или обикновен IPsec не може да се свърже с доставчик, който публикува само профили OpenVPN или WireGuard, и никаква конфигурация не променя това. Честите опции са доставчик, който говори поддържан протокол, рутер с OpenWrt или друг фърмуер с нужния клиент, или клиент на всяко устройство.

Обратният случай е също толкова чест: рутер с поддръжка на OpenVPN не може да използва доставчик, чиято услуга зависи от собствен клиент и собствени трикове за маршрутизиране. Прочетете страницата на доставчика за поддържани протоколи, преди да купите хардуер, и проверете версията на фърмуера, защото „поддържа WireGuard“ на продуктова страница често означава едно конкретно поколение фърмуер.

Пътнически рутер с WireGuard клиент е евтината версия на рутерния модел и разумен отговор за няколко устройства, които не могат да стартират клиент. Той все още е тунел на рутера, така че всичко по-горе за гостеви мрежи, IPv6 и общ отказ важи без промяна.

Третата опция: машина като шлюз

Споделянето на клиент от лаптоп е възможно и това обикновено имат предвид хората, когато казват, че са превърнали лаптопа в рутер.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Работи, докато машината не заспи, клиентът не се свърже отново в друг профил или собствената защитна стена на машината не изхвърли препратените пакети. Тогава всичко зад нея губи връзка наведнъж и отказът изглежда като мъртва мрежа, а не като проблем с VPN.

За лаборатория или временна настройка е добре. Като постоянно решение прави един лаптоп единствената точка на отказ за домакинство и обикновено завършва с това, че някой се чуди защо телевизорът е спрял да работи, когато капакът се е затворил.

Входящи портове, DNS и общият отказ

Входящите услуги се местят с тунела. VPN на рутера обикновено чупи пренасочването на портове за сървър в LAN, а динамичното DNS име трябва да сочи към изхода на VPN, а не към адреса на ISP, ако услугата трябва да е достъпна през тунела. Някои доставчици изобщо не предлагат маршрутизируем входящ адрес, което тихо прекратява всеки план, който е разчитал на такъв.

DNS следва рутера, когато рутерът притежава тунела, което е удобно, докато на едно устройство не потрябва друг resolver. Клиент на всяко устройство може да изрази това; политика на рутера не може, без да раздели мрежата на две. Отказът също се споделя, защото един срив, един изтекъл абонамент или един лош избутан маршрут прекъсва всяко устройство в един и същ момент.

Изберете рутерния модел, когато устройствата не могат да стартират клиенти и един изход е приемлив. Изберете клиенти на всяко устройство, когато политиките се различават, когато на доставчика е нужен протокол, който рутерът няма, или когато акаунтът не бива да се споделя. Ако машина е шлюзът, запишете кой интерфейс споделя коя мрежа и тествайте случая „тунелът падна“, защото това е състоянието, в което повечето от тези дизайни се оказват грешни.