Než importujete profil VPN, zkontrolujte roli klienta routeru

Stránka se specifikacemi a logem VPN říká, že zařízení umí s VPN něco dělat. Neříká, že firmware může vystupovat jako klient protokolu v souboru, který držíte. To jsou různé schopnosti s různými požadavky a mezera mezi nimi je místo, kde většina těchto nákupů selhává. Zkontrolujte roli dřív než značku.

Čtyři kontroly promění seznam funkcí v odpověď.

Logo VPN není prohlášení o schopnostech

Routery inzerují podporu VPN nejméně ve třech významech: průchod provozu z jiných zařízení, server, který přijímá příchozí tunely, a klient, který zahajuje odchozí tunel. Jen třetí spotřebuje profil, který jste stáhli. Průchod IPsec je zejména pomocník NAT, nikoli koncový bod, a objevuje se na zařízeních, která IPsec vůbec nedokážou ukončit ani zahájit.

Zeptejte se, kterou roli soubor potřebuje, a pak se zeptejte, zda ta role v dané verzi firmwaru na zařízení existuje.

Čtěte seznam funkcí pro firmware, který skutečně používáte

Názvy modelů nejsou verze firmwaru a příručka napsaná pro předchozí hlavní vydání popisuje jinou sadu funkcí. Na OpenWrt lze otázku zodpovědět z shellu: opkg list-installed | grep -E "openvpn|wireguard" ukáže, zda jsou klientské balíčky přítomné, a jaderný modul WireGuard je oddělený od nástrojů uživatelského prostoru. Na zařízení dodavatele čtěte poznámky k vydání nainstalovaného sestavení, nikoli marketingovou stránku modelu.

Pokud je schopnost dodána jako balíček, ověřte, že je nainstalovaný, a ne jen dostupný v repozitáři.

Sladťte formát profilu s importérem

Profil OpenVPN je jazyk direktiv. Soubor protějšku WireGuard je INI se soukromým klíčem a seznamem povolených IP. Přihlašovací údaje IKEv2 jsou certifikát nebo uživatelské jméno plus identita serveru. Formulář routeru, který přijme jeden z nich, nepřeloží ostatní, a tlačítko importu tvrdící, že přijme cokoli, si zaslouží podezření.

Otevřete soubor a přečtěte prvních deset řádků. To vám řekne, který importér potřebujete, dřív než kterákoli nabídka.

Zkontrolujte volby, které profil skutečně používá

Podpora protokolu není podpora vašeho profilu. Podívejte se na direktivy nesoucí bezpečnostní vlastnosti: vložené certifikáty, tls-crypt nebo tls-auth, volbu šifry a šifry dat, kompresi a skriptové háky. Implementace v routeru může soubor přijmout a tiše ignorovat direktivu, kterou neimplementuje, což dá tunel, který se připojí a chová se jinak než ten na vašem notebooku.

Nebezpečný výsledek není odmítnutý import. Je to přijatý import, který tiše něco zahodil.

Testujte politiku, ne jen handshake

Rozhodněte, co musí spojení přenášet: jeden segment nebo každé zařízení, který DNS resolver, zda IPv6 vstoupí do tunelu nebo zůstane lokálně, a co se stane, když tunel spadne. To jsou samostatné funkce od navázání a právě tam se router nejvíc liší od desktopového klienta. Udržujte místní správu dostupnou během testování, jinak vás první chyba směrování stojí fyzický přístup.

Dokončený handshake je začátek ověřování. Pošlete skutečný provoz na skutečné místo určení a zkontrolujte zpáteční cestu.