VPN klijent na ruteru nasuprot serverskom režimu: šta svaki omogućava
Jedna uloga rutera šalje vaš saobraćaj na udaljeni izlaz, druga vas pušta unutra. Pročitajte menije, akreditive i povratnu putanju prije nego što uključite bilo koju.
Prijavite se na ruter, otvorite stranicu VPN-a i nađete dvije kartice koje izgledaju kao ista funkcija opisana dvaput: jedna traži datoteku profila odnekud drugdje, druga traži da generišete certifikate i odaberete port. To nisu dva prikaza jedne postavke. Jedna uloga tjera ruter da zove prema van, druga ga tjera da odgovara, i jedan uređaj može raditi oboje, a da jedno ne pomaže drugom. Evo kako čitati meni i odlučiti na kojoj ste strani prije nego što bilo šta uključite.
Otvorite meni VPN-a i pročitajte nazive uloga
Počnite s naslovima odjeljaka, a ne s prekidačima. Kartica označena kao klijent ili „poveži se na VPN servis“ očekuje uvezeni profil, konfiguracijsku datoteku ili skup akreditiva koje je izdao neko drugi. Kartica označena kao server očekuje da vi stvorite identitete, odaberete protokol i port i obično izvezete profil za svaki uređaj koji će se povezati.
Tretirajte marketinški redak na kutiji kao nepotvrđen sve dok mu meni ne odgovara. „VPN podržan“ može značiti klijent, server, pomoćnik za propuštanje protokola koji samo prosljeđuje pakete uređaju iza rutera, ili vlasničku aplikaciju za daljinski pristup bez ikakvog standardnog profila. Samo dokumentacija firmvera razlikuje te slučajeve, a broj modela na naljepnici ne.
Režim klijenta: vaš LAN izlazi kroz tuđi izlaz
U režimu klijenta ruter se ponaša kao laptop s VPN aplikacijom. Potreban mu je kompatibilan protokol, profil ili akreditivi od udaljenog operatera i odluka o rutiranju koji će uređaji nizvodno koristiti tunel. Mnogi firmveri nude listu pravila u kojoj imenujete izvorne adrese ili interfejse koje treba slati kroz tunel, a ostale ostavljate na normalnoj vezi.
Dio koji tiho pada jest udaljena strana. Krajnja točka na koju se povezujete mora za vas prosljeđivati internetski saobraćaj i osigurati povratnu putanju, a to je pravilo kod provajdera, ne postavka na vašem ruteru. Meni koji nudi samo serverski režim ne može izgraditi ovu izlaznu uslugu bez obzira na to kako je konfigurisan, a provajder koji podržava samo veze lokacija-lokacija može uspješno povezati tunel, ali odbacivati sve što kroz njega pošaljete.
Zatim provjerite kako tunel rukuje DNS-om. Ako profil gura resolver, ruter bi trebao taj resolver predati klijentima nizvodno; ako ne, klijenti nastavljaju koristiti ISP resolver i razrješavaju imena izvan tunela iako paketi idu unutra. Brza provjera s povezanog laptopa: adresa koju vidite na stranici IP eha trebala bi biti izlaz, a resolver adresa koja se koristi trebala bi biti ona koju je tunel dostavio.
Režim servera: neko drugi dolazi u vaš LAN
Serverski režim obrće smjer. Ruter sluša, putni uređaj se povezuje, a zatim ruter odlučuje kojim domaćim resursima ta veza smije pristupiti. To je uloga koju želite za NAS, laboratorijsku mašinu ili printer, i ima uvjet koji klijentska uloga nema: nešto izvana mora moći doći do slušača.
Na tom uvjetu zapinje većina kućnih postavki. Ako ruter stoji iza provajderovog vlastitog gatewaya, VPN port se mora proslijediti s tog gatewaya ili se ruter mora postaviti u bridge ili DMZ režim. Iza carrier-grade NAT-a nema nikakvog ulaznog porta za prosljeđivanje, pa se dizajn mora promijeniti: izlazni tunel od rutera do releja, hostirane krajnje točke ili mesh proizvoda. Server do kojeg se ne može doći nije pogrešno konfigurisan, on je nedostupan.
Identiteti se također razlikuju po ulozi. Kućni klijentski profil koji sve šalje na plaćeni izlaz je jedna zajednička tajna, dok server koji prima tri telefona i laptop treba četiri identiteta koja možete opozvati zasebno. Certifikati i ključevi su po uređaju, a stranica za izvoz na ruteru trebala bi vam dati jednu datoteku po uređaju, a ne jednu datoteku za domaćinstvo.
Provjerite tačnu implementaciju prije nego što se obvežete
Netgate dokumentacija o odabiru VPN uloge razdvaja uloge na ovaj način i vrijedi pročitati ekvivalentnu stranicu za vaš firmver umjesto zaključivanja iz naziva kartica. Tražite tri konkretne činjenice: koje protokole klijent može govoriti, podržava li server protokol koji koriste vaši uređaji i pokriva li pravilo rutiranja izvorne adrese, cijele interfejse ili ništa.
Zatim pogledajte granicu podrške. Potrošački ruter s karticom klijenta, ali bez liste pravila, poslat će svaki uređaj kroz tunel, što je u redu za streaming kutiju, a pogrešno za radni laptop kojem treba uredski tunel. Ruter s karticom servera, ali jednim zajedničkim profilom, razuman je laboratorijski alat i loš izbor za porodicu, jer opoziv jednog uređaja znači mijenjanje konfiguracije svih.
Odaberite ulogu prema tome gdje saobraćaj počinje
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Prođite odabrani red od početka do kraja prije nego što promijenite bilo šta drugo. Uključite ulogu, povežite jednog klijenta, potvrdite adresu pod kojom se pojavljuje, potvrdite koji resolver koristi i potvrdite povratnu putanju u suprotnom smjeru. Ako ruter ima i stranicu firewall-a, provjerite da novi interfejs nije blokiran zadanim pravilom napisanim kad tunel nije postojao.
Kada su dostupne obje uloge i zahtjev je zaista za obje, pokrenite ih kao odvojene funkcije s odvojenom dokumentacijom. Jedan ruter može zvati prema van za televizor i istovremeno prihvatati telefonsku vezu s NAS-om, ali ta dva pravila ne smiju dijeliti podmrežu, DNS postavku ili firewall zonu, inače će prva promjena koju napravite za jedno pokvariti drugo.