Režim bridge není průchod VPN: co mění každý z nich
Režim bridge mění roli směrování routeru; průchod VPN jen nechá VPN klienta projít. Ani jedno samo o sobě tunel nevytváří, takže je nelze zaměňovat.
Režim bridge a průchod VPN se objevují ve stejném vlákně o řešení potíží, protože obojí se nabízí jako oprava VPN, které se nepřipojí. Popisují různé funkce routeru a ani jedno samo o sobě VPN tunel nevytváří. Bridging mění, jak se zařízení připojuje k síťovým segmentům nebo kdo provádí směrování; průchod rozhoduje, zda provoz VPN klienta může projít branou. Špatná volba promění malý problém v celé odpoledne přečíslování adres.
Dvě označení, dvě různé funkce
Test je jednoduchý: snažíte se změnit tvar sítě, nebo pustit provoz, který už existuje, skrz ni? To jsou různé požadavky s různými důsledky.
Srovnání v jedné tabulce:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Tunel na routeru vytvářejí jen poslední dvě možnosti. Bridging i průchod nechávají koncový bod jinde, a proto ani jedno nedokáže opravit problém způsobený chybějícím klientem nebo nedostupným serverem. Tento rozdíl se snadno ztratí, protože nastavení leží blízko sebe ve stejném rozhraní. Než tu stránku otevřete, zapište si, který koncový bod tunel vlastní.
Zaškrtávací pole průchodu také není úplným popisem podpory protokolů. Moderní průchod NAT v IPsec používá standardizované zapouzdření UDP, zatímco starší pomocné funkce se chovají specificky podle implementace.
Marketingový štítek s podporou VPN neříká, kterou z těchto čtyř rolí má na mysli.
Co režim bridge mění na vašem zařízení
U modemu nebo routeru obvykle volba bridge přesouvá odpovědnost za směrování a NAT na jinou branu níže po cestě. U softwarového zařízení to může znamenat spojení vybraných místních rozhraní do jedné broadcast domény. Přesný rozsah závisí na produktu, proto čtěte dokumentaci k modelu, ne k pojmu. Obě interpretace mění přidělování adres, hranice firewallu a způsob, jak se dostanete ke správě.
Právě proto je bridging špatnou první reakcí na selhání VPN. Můžete ztratit cestu ke správě, zatímco původní problém zůstává nevyřešen.
Před změnou síťové role si uložte zálohu konfigurace, protože adresování se s ní může posunout.
Vyberte roli dřív než nastavení
Chcete-li poslat domácí provoz přes vnější výstup, potřebujete kompatibilního VPN klienta v routeru, ne bridge. Chcete-li se z jiného místa připojit domů, potřebujete roli serveru a cestu proti proudu, která se k němu dostane. Tyto dva požadavky nemají kromě slova VPN téměř nic společného. Rozhodněte, který z nich stavíte, než se podíváte do menu.
Zařízení může podporovat obě role a přesto nepodporovat tu, kterou potřebujete, tempem, které očekáváte.
Role je rozhodnutí o návrhu; nastavení je jeho důsledek.
Když selže jen jeden protokol
Když jeden protokol selhává za jinak funkčním routerem, prozkoumejte nejprve transport a cestu NAT toho protokolu. Měnit celý režim brány kvůli jednomu klientovi je jako přezátahovat dům, protože praskla žárovka. Zkontrolujte, zda je provoz zapouzdřen v UDP, zda se pomocná funkce routeru vztahuje na tento protokol a zda je selhání symetrické. Potom rozhodněte, zda je změna role skutečně opodstatněná.
RFC 3948 popisuje zapouzdření UDP, díky kterému IPsec přežije NAT, a je to standard, který je třeba ověřit, než uvěříte zaškrtávacímu poli průchodu.
Zapište, co jste změnili a proč, protože další člověk najde zařízení v režimu bridge a bude předpokládat, že to bylo úmyslné. Správným výsledkem je síť, jejíž tvar jste zvolili vy, ne ta, kterou jste zdědili z relace řešení potíží.