Telefon mimo VPN? Tunel na routeru versus klient v každém zařízení

Notebook je připojený k VPN, telefon je na stejné Wi-Fi, a přesto telefon prohlíží z adresy ISP. To není chyba klienta: tunel žije na stroji, který ho ukončuje, a nic jiného ho nedědí díky blízkosti. Pokrytí se šíří jen tehdy, když router sám spouští klienta, nebo když se stroj záměrně promění v bránu pro LAN. Který model chcete, rozhodují tři věci: protokol, kterým váš poskytovatel skutečně mluví, jak odlišně je třeba se zařízeními zacházet, a jakou poruchu unesete v devět večer.

Co tunel na routeru skutečně pokrývá

Když tunel končí na routeru, každé zařízení, které přes něj směruje, sdílí výstup. To je přitažlivé pro televizi, konzoli nebo spotřebič, který nikdy nespustí klienta: nic k instalaci, nic k udržování aktuální a jedno místo pro změnu poskytovatele.

Pokrytí je podmíněné způsoby, které lidi překvapují. Hostitelská síť nebo druhé SSID s vlastní politikou jde cestou, kterou tato politika určuje, ne tunelem. Cesta IPv6 může obejít tunel, který přenáší jen IPv4. Zařízení s vlastní aplikací VPN nebo vlastním šifrovaným resolverem router úplně ignoruje. A vlastní provoz routeru, včetně aktualizací a DNS, se řídí jeho výstupní politikou, což je jiná cesta než přeposílaný provoz LAN.

Kontrola je v obou modelech stejná a trvá minutu: zeptejte se dvou zařízení, jakou adresu svět vidí, a pak se podívejte do seznamu připojení routeru na tunel. Pokud telefon hlásí adresu ISP, zatímco router ukazuje navázaný tunel, telefon přes něj není směrován, a žádné opětovné připojení to nezmění.

Kde klient v každém zařízení vyhrává

Klienti v každém zařízení vyhrávají, jakmile se požadavky rozcházejí. Pracovní notebook může potřebovat podnikový tunel, do kterého telefon nesmí; klientská aplikace poskytovatele může nabízet rozdělený tunel podle aplikace, což router neumí vyjádřit; konzole může muset zůstat venku, aby si udržela svůj typ NAT. Každé zařízení také selhává samo za sebe, takže jedno propadlé předplatné neučiní celý dům tichým.

Přihlašovací údaje jsou ostřejší argument. Router, který se připojuje za všechny, drží jeden účet, a každý člověk v té síti dědí jeho přístup. Pokud je záměrem ověřování každé osoby před přístupem k internetu, samotný tunel na routeru to neumí. Obvyklým řešením je captive portál, který ověří účet a pak pustí klienta do již navázaného tunelu, což je více pohyblivých částí, než většina domácností chce.

Podpora protokolů rozhoduje více případů než preference

Spotřebitelské routery nabízejí jen protokoly, které výrobce dodal. Router s PPTP, L2TP nebo obyčejným IPsec se nepřipojí k poskytovateli, který zveřejňuje výhradně profily OpenVPN nebo WireGuard, a žádná konfigurace to nezmění. Poctivé možnosti jsou poskytovatel mluvící podporovaným protokolem, router s OpenWrt nebo jiným firmware s potřebným klientem, nebo klient v každém zařízení.

Opačný případ je stejně častý: router schopný OpenVPN nemůže použít poskytovatele, jehož služba závisí na vlastním klientu a jeho vlastních směrovacích tricích. Přečtěte si stránku poskytovatele o podporovaných protokolech, než koupíte hardware, a zkontrolujte verzi firmwaru, protože „podporuje WireGuard“ na stránce produktu často znamená jednu konkrétní generaci firmwaru.

Cestovní router s klientem WireGuard je levná verze modelu routeru a rozumná odpověď pro hrstku zařízení, která nemohou spustit klienta. Pořád je to tunel na routeru, takže vše výše o hostitelských sítích, IPv6 a sdílené poruše platí beze změny.

Třetí možnost: stroj jako brána

Sdílení klienta z notebooku je možné, a to lidé obvykle myslí, když říkají, že z notebooku udělali router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funguje to, dokud stroj neusne, klient se nepřipojí znovu v jiném profilu nebo vlastní firewall stroje nezahodí přeposílané pakety. Pak vše za ním ztratí připojení najednou, a porucha vypadá jako mrtvá síť, ne jako problém VPN.

Pro laboratoř nebo dočasné uspořádání je to v pořádku. Jako trvalé řešení dělá z jednoho notebooku jediný bod selhání domácnosti, a obvykle to skončí tím, že se někdo diví, proč televize přestala fungovat, když se zavřelo víko.

Příchozí porty, DNS a sdílená porucha

Příchozí služby se pohybují s tunelem. VPN na routeru obvykle rozbije přesměrování portů pro server v LAN, a dynamické jméno DNS musí ukazovat na výstup VPN, ne na adresu ISP, pokud má být služba dostupná přes tunel. Někteří poskytovatelé nenabízejí vůbec žádnou směrovatelnou příchozí adresu, což tiše ukončí každý plán, který na ní stál.

DNS následuje router, když router vlastní tunel, což je pohodlné, dokud jedno zařízení nepotřebuje jiný resolver. Klient v každém zařízení to umí vyjádřit; politika routeru ne, aniž by rozdělila síť na dvě. Porucha je také sdílená, protože jeden pád, jedno propadlé předplatné nebo jedna špatná vynucená trasa odpojí každé zařízení ve stejnou chvíli.

Zvolte model routeru, když zařízení nemohou spouštět klienty a jedno vyústění je přijatelné. Zvolte klienty v každém zařízení, když se politiky liší, když poskytovatel potřebuje protokol, který router nemá, nebo když se účet nesmí sdílet. Pokud je stroj bránou, zapište, které rozhraní sdílí kterou síť, a otestujte případ „tunel spadl“, protože v tom stavu se většina těchto návrhů ukáže jako chybná.