VPN klient vs. serverový režim routeru: co který umožňuje
Jedna role routeru posílá váš provoz na vzdálený výstup, druhá vás pouští dovnitř. Přečtěte si nabídky, přihlašovací údaje a zpáteční cestu, než kteroukoli zapnete.
Přihlásíte se do routeru, otevřete stránku VPN a najdete dvě karty, které vypadají jako stejná funkce popsaná dvakrát: jedna chce soubor profilu odjinud, druhá chce, abyste vygenerovali certifikáty a vybrali port. Nejsou to dva pohledy na jedno nastavení. Jedna role nutí router volat ven, druhá ho nutí odpovídat, a jeden stroj umí obojí, aniž by jedno pomáhalo druhému. Tady je, jak číst nabídku a rozhodnout se, na které straně jste, než cokoli zapnete.
Otevřete nabídku VPN a přečtěte si názvy rolí
Začněte nadpisy sekcí, ne přepínači. Karta označená jako klient nebo „připojit se ke službě VPN“ očekává importovaný profil, konfigurační soubor nebo sadu přihlašovacích údajů vydaných někým jiným. Karta označená jako server očekává, že vytvoříte identity, zvolíte protokol a port a obvykle vyexportujete profil pro každé zařízení, které se připojí.
Marketingový řádek na krabici považujte za neověřený, dokud mu nabídka neodpovídá. „Podpora VPN“ může znamenat klienta, server, pomocník pro průchod protokolu, který jen přeposílá pakety zařízení za routerem, nebo proprietární aplikaci pro vzdálený přístup zcela bez standardního profilu. Tyto případy rozlišuje jedině dokumentace firmwaru, a číslo modelu na nálepce ne.
Klientský režim: vaše LAN odchází cizím výstupem
V klientském režimu se router chová jako notebook s aplikací VPN. Potřebuje kompatibilní protokol, profil nebo přihlašovací údaje od vzdáleného operátora a rozhodnutí o směrování, která zařízení níže mají tunel používat. Mnoho firmwarů nabízí seznam pravidel, kde pojmenujete zdrojové adresy nebo rozhraní, která se mají posílat tunelem, a zbytek necháte na běžném připojení.
Část, která tiše selhává, je vzdálená strana. Koncový bod, ke kterému se připojujete, musí za vás přeposílat internetový provoz a zajistit zpáteční cestu, což je pravidlo u poskytovatele, ne nastavení na vašem routeru. Nabídka, která umí jen serverový režim, tuto odchozí službu nepostaví, ať se nastaví jakkoli, a poskytovatel, který podporuje jen spoje mezi lokalitami, může tunel úspěšně připojit, ale zahazovat vše, co jím pošlete.
Dále zkontrolujte, jak tunel nakládá s DNS. Pokud profil protlačí resolver, router by měl tento resolver předat klientům níže; pokud ne, klienti dál používají resolver poskytovatele a překládají názvy mimo tunel, i když pakety jdou uvnitř. Rychlá kontrola z připojeného notebooku: adresa, kterou vidíte na stránce ozvěny IP, by měla být výstupem, a používaná adresa resolveru by měla být ta, kterou tunel dodal.
Serverový režim: někdo jiný přichází do vaší LAN
Serverový režim obrací směr. Router naslouchá, cestovní zařízení se připojí a router pak rozhodne, na které domácí zdroje toto spojení smí dosáhnout. To je role, kterou chcete pro NAS, laboratorní stroj nebo tiskárnu, a má předpoklad, který klientská role nemá: něco zvenčí musí dokázat dosáhnout na naslouchající stranu.
Na tomto předpokladu se zasekává většina domácích sestavení. Pokud router stojí za vlastní bránou poskytovatele, musí se port VPN přeposlat z této brány, nebo se router musí uvést do režimu mostu či DMZ. Za NAT na úrovni operátora není žádný příchozí port k přeposlání, takže se návrh musí změnit: odchozí tunel z routeru k relé, hostovanému koncovému bodu nebo mesh produktu. Server, na který se nedá dosáhnout, není špatně nakonfigurovaný, je nedostupný.
Identity se liší i podle role. Domácí klientský profil, který vše posílá na placený výstup, je jedno sdílené tajemství, kdežto server, který pustí tři telefony a notebook, potřebuje čtyři identity, které můžete zrušit jednotlivě. Certifikáty a klíče jsou pro každé zařízení a stránka exportu routeru by vám měla dát jeden soubor na zařízení, ne jeden soubor pro celou domácnost.
Než se zavážete, ověřte přesnou implementaci
Dokumentace Netgate k volbě role VPN odděluje role tímto způsobem a stojí za to přečíst si odpovídající stránku pro váš firmware, místo abyste to odhadovali z názvů karet. Hledejte tři konkrétní skutečnosti: jakými protokoly klient umí mluvit, zda server podporuje protokol, který používají vaše zařízení, a zda pravidlo směrování pokrývá zdrojové adresy, celá rozhraní, nebo vůbec nic.
Pak se podívejte na hranici podpory. Spotřebitelský router s kartou klienta, ale bez seznamu pravidel, pošle tunelem všechna zařízení, což je v pořádku pro streamovací box a špatné pro pracovní notebook, který potřebuje kancelářský tunel. Router s kartou serveru, ale jediným sdíleným profilem, je rozumný laboratorní nástroj a špatná volba pro rodinu, protože zrušení jednoho zařízení znamená změnu konfigurace všech.
Vyberte roli podle toho, kde provoz začíná
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Projděte zvolený řádek od začátku do konce, než změníte cokoli dalšího. Zapněte roli, připojte jednoho klienta, potvrďte adresu, pod kterou se objevuje, potvrďte, který resolver používá, a potvrďte zpáteční cestu v opačném směru. Pokud má router i stránku firewallu, zkontrolujte, že nové rozhraní neblokuje výchozí pravidlo napsané v době, kdy tunel ještě neexistoval.
Když jsou dostupné obě role a požadavek je skutečně obojí, provozujte je jako samostatné funkce se samostatnou dokumentací. Jeden router může volat ven pro televizi a zároveň přijímat spojení telefonu k NAS, ale obě pravidla nesmějí sdílet podsíť, nastavení DNS ani zónu firewallu, jinak první změna, kterou pro jedno uděláte, rozbije druhé.