VPN клиент срещу сървърен режим на рутера: какво позволява всеки

Влизате в рутера, отваряте страницата за VPN и откривате два раздела, които изглеждат като една и съща функция, описана два пъти: единият иска файл с профил от другаде, другият иска да генерирате сертификати и да изберете порт. Това не са два изгледа на една настройка. Едната роля кара рутера да звъни навън, другата го кара да отговаря, и едно устройство може да прави и двете, без едното да помага на другото. Ето как да четете менюто и да решите от коя страна сте, преди да включите каквото и да е.

Отворете менюто за VPN и прочетете имената на ролите

Започнете със заглавията на разделите, а не с превключвателите. Раздел с надпис клиент или „свързване с VPN услуга“ очаква внесен профил, конфигурационен файл или набор от идентификационни данни, издадени от някой друг. Раздел с надпис сървър очаква да създадете самоличностите, да изберете протокол и порт и обикновено да изнесете профил за всяко устройство, което ще се свързва.

Приемайте маркетинговия ред върху кутията като непотвърден, докато менюто не му съответства. „Поддръжка на VPN“ може да означава клиент, сървър, помощник за препредаване на протокол, който само препраща пакети към устройство зад рутера, или собственическо приложение за отдалечен достъп без какъвто и да е стандартен профил. Само документацията на фърмуера разграничава тези случаи, а номерът на модела върху стикера — не.

Клиентски режим: локалната ви мрежа излиза през чужд изход

В клиентски режим рутерът се държи като лаптоп с VPN приложение. Нуждае се от съвместим протокол, профил или идентификационни данни от отдалечения оператор и решение за маршрутизиране кои устройства надолу по веригата да използват тунела. Много фърмуери предлагат списък с политики, в който именувате адресите на източника или интерфейсите, които да бъдат изпращани през тунела, а останалите оставяте на нормалната връзка.

Частта, която се проваля безшумно, е отдалечената страна. Крайната точка, към която се свързвате, трябва да препраща интернет трафик вместо вас и да осигурява път за връщане; това е политика при доставчика, а не настройка на вашия рутер. Меню, което предлага само сървърен режим, не може да изгради тази изходяща услуга, независимо как е конфигурирано, а доставчик, който поддържа само връзки сайт към сайт, може да свърже тунела успешно, но да изхвърля всичко, което изпращате през него.

След това проверете как тунелът борави с DNS. Ако профилът изпраща резолвер, рутерът трябва да предаде този резолвер на клиентите надолу; ако не го прави, клиентите продължават да използват резолвера на доставчика и разрешават имена извън тунела, макар пакетите да минават вътре. Бърза проверка от свързан лаптоп: адресът, който виждате на страница за IP ехо, трябва да е изходът, а използваният адрес на резолвера трябва да е този, който тунелът е предоставил.

Сървърен режим: някой друг пристига в локалната ви мрежа

Сървърният режим обръща посоката. Рутерът слуша, пътуващото устройство се свързва и след това рутерът решава кои домашни ресурси може да достигне тази връзка. Това е ролята, която искате за NAS, лабораторна машина или принтер, и тя има предварително условие, което клиентската роля няма: нещо отвън трябва да може да достигне слушателя.

Точно на това предварително условие се заклещват повечето домашни конфигурации. Ако рутерът стои зад собствения шлюз на доставчика, VPN портът трябва да се пренасочи от този шлюз или рутерът да бъде поставен в режим на мост или DMZ. Зад NAT на операторско ниво няма входящ порт, който да се пренасочи, така че дизайнът трябва да се промени: изходящ тунел от рутера към релей, хоствана крайна точка или мрежов продукт. Сървър, който не може да бъде достигнат, не е конфигуриран грешно — той е недостъпен.

Самоличностите също се различават според ролята. Домашен клиентски профил, който изпраща всичко към платен изход, е една споделена тайна, докато сървър, който допуска три телефона и лаптоп, се нуждае от четири самоличности, които можете да оттеглите поотделно. Сертификатите и ключовете са за всяко устройство, а страницата за експорт на рутера трябва да ви даде един файл на устройство, а не един файл за домакинството.

Проверете точната реализация, преди да се ангажирате

Документацията на Netgate за избор на VPN роля разделя ролите по този начин и си заслужава да прочетете еквивалентната страница за вашия фърмуер, вместо да гадаете от имената на разделите. Търсете три конкретни факта: какви протоколи може да говори клиентът, дали сървърът поддържа протокола, който използват вашите устройства, и дали политиката за маршрутизиране покрива адреси на източника, цели интерфейси или нищо.

След това погледнете границата на поддръжката. Потребителски рутер с раздел клиент, но без списък с политики, ще изпраща всяко устройство през тунела; това е добре за устройство за стрийминг и грешно за работен лаптоп, който се нуждае от офисния тунел. Рутер с раздел сървър, но с един споделен профил, е разумно лабораторно средство и лош избор за семейство, защото оттеглянето на едно устройство означава промяна на конфигурацията на всички.

Изберете ролята според това къде започва трафикът

Извървете избрания ред от началото до края, преди да промените нещо друго. Включете ролята, свържете един клиент, потвърдете адреса, с който се показва, потвърдете кой резолвер използва и потвърдете пътя за връщане в обратната посока. Ако рутерът има и страница за защитна стена, проверете дали новият интерфейс не е блокиран от правило по подразбиране, написано, когато тунелът все още не е съществувал.

Когато и двете роли са налични и изискването наистина е за двете, ги пускайте като отделни функции с отделна документация. Един рутер може да звъни навън за телевизора и едновременно да приема връзка от телефон към NAS, но двете политики не трябва да споделят подмрежа, DNS настройка или зона на защитната стена, иначе първата промяна, която направите за едната, ще счупи другата.