Ffôn y tu allan i'r VPN? Twnnel llwybrydd neu gleient fesul dyfais

Mae'r gliniadur wedi'i gysylltu â'r VPN, mae'r ffôn ar yr un Wi-Fi, ac eto mae'r ffôn yn pori o gyfeiriad y ISP. Nid byg cleient yw hyn: mae twnnel yn byw ar y peiriant sy'n ei derfynu, ac nid oes unrhyw beth arall yn ei etifeddu oherwydd agosrwydd. Dim ond pan mae y llwybrydd ei hun yn rhedeg y cleient y mae'r cwmpas yn ymledu, neu pan mae peiriant yn cael ei droi'n fwriadol yn borth i'r LAN. Mae'r model rydych ei eisiau yn cael ei benderfynu gan dri pheth: y protocol y mae eich darparwr yn ei siarad mewn gwirionedd, pa mor wahanol y mae angen trin y dyfeisiau, a pha fethiant y gallwch ei oddef am naw y nos.

Beth mae twnnel llwybrydd yn ei gwmpasu mewn gwirionedd

Pan mae'r twnnel yn gorffen ar y llwybrydd, mae pob dyfais sy'n llwybro trwyddo yn rhannu'r allanfa. Dyna'r atyniad i deledu, consol neu offeryn na fydd byth yn rhedeg cleient: dim i'w osod, dim i'w gadw'n gyfredol, ac un man i newid darparwr.

Mae'r cwmpas yn amodol mewn ffyrdd sy'n synnu pobl. Mae rhwydwaith gwestai neu ail SSID â'i bolisi ei hun yn dilyn y llwybr y mae'r polisi hwnnw'n ei ddiffinio, nid y twnnel. Gall llwybr IPv6 osgoi twnnel nad yw ond yn cario IPv4. Mae dyfais sy'n rhedeg ei ap VPN ei hun, neu ei datryswr wedi'i amgryptio ei hun, yn anwybyddu'r llwybrydd yn llwyr. Ac mae traffig y llwybrydd ei hun, diweddariadau a DNS yn gynwysedig, yn dilyn ei bolisi allbwn, sy'n llwybr gwahanol i draffig a ailgyfeirir o'r LAN.

Mae'r gwiriad yr un peth yn y ddau fodel ac mae'n cymryd munud: gofynnwch i ddwy ddyfais pa gyfeiriad mae'r byd yn ei weld, yna edrychwch yng nghynllun cysylltiadau'r llwybrydd am y twnnel. Os yw'r ffôn yn adrodd cyfeiriad y ISP tra bod y llwybrydd yn dangos twnnel sefydledig, nid yw'r ffôn yn cael ei lwybro trwyddo, ac ni fydd unrhyw ailosod yn newid hynny.

Lle mae cleient fesul dyfais yn ennill

Mae cleientiaid fesul dyfais yn ennill cyn gynted ag y mae'r gofynion yn dargyfeirio. Efallai y bydd angen twnnel corfforaethol ar liniadur gwaith na ddylai'r ffôn ymuno ag ef; efallai y bydd cleient darparwr yn cynnig twnnel hollt fesul cymhwysiad, rhywbeth na all llwybrydd ei fynegi; efallai y bydd angen i consol aros y tu allan i gadw ei math NAT. Mae pob dyfais hefyd yn methu ar ei liwt ei hun, felly nid yw un tanysgrifiad wedi dod i ben yn distewi'r tŷ cyfan.

Mae manylion mewngofnodi yn yr araith fwyaf miniog. Mae llwybrydd sy'n cysylltu ar ran pawb yn dal un cyfrif, ac mae pob person ar y rhwydwaith hwnnw yn etifeddu ei fynediad. Os mai'r bwriad yw dilysu pobl unigol cyn mynediad i'r rhyngrwyd, ni all twnnel llwybrydd ar ei ben ei hun wneud hynny. Y dyluniad arferol yw porth gaeth sy'n dilysu'r cyfrif ac yna'n rhyddhau'r cleient i mewn i dwnnel sydd eisoes yn sefydledig, sy'n fwy o rannau symudol nag y mae'r rhan fwyaf o gartrefi eisiau.

Cymorth protocolau sy'n penderfynu mwy o achosion na dewis

Dim ond y protocolau a anfonwyd gan y gwneuthurwr y mae llwybryddion defnyddwyr yn eu dangos. Ni all llwybrydd sy'n cynnig PPTP, L2TP neu IPsec plaen gysylltu â darparwr nad yw ond yn cyhoeddi proffiliau OpenVPN neu WireGuard, ac nid oes unrhyw ffurfweddiad yn newid hynny. Y dewisiadau gonest yw darparwr sy'n siarad protocol a gefnogir, llwybrydd sy'n rhedeg OpenWrt neu firmware arall gyda'r cleient sydd ei angen arnoch, neu gleient ar bob dyfais.

Mae'r achos gwrthgyferbyniol yr un mor gyffredin: ni all llwybrydd sy'n gallu rhedeg OpenVPN ddefnyddio darparwr y mae ei wasanaeth yn dibynnu ar gleient perchnogol a'i driciau llwybro ei hun. Darllenwch dudalen protocolau a gefnogir y darparwr cyn prynu caledwedd, a gwirio fersiwn y firmware, oherwydd mae 'yn cefnogi WireGuard' ar dudalen cynnyrch yn aml yn golygu un genhedlaeth firmware benodol.

Mae llwybrydd teithio â chleient WireGuard yn fersiwn rhad y model llwybrydd, ac yn ateb rhesymol ar gyfer llond llaw o ddyfeisiau na allant redeg cleient. Mae'n dal yn dwnnel llwybrydd, felly mae popeth uchod am rwydweithiau gwestai, IPv6 a methiant a rennir yn berthnasol heb newid.

Y trydydd opsiwn: peiriant fel porth

Mae rhannu cleient o liniadur yn bosibl, a dyna y mae pobl fel arfer yn ei feddwl wrth droi'r gliniadur yn llwybrydd.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Mae'n gweithio nes bod y peiriant yn cysgu, y cleient yn ailgysylltu i broffil arall, neu firewall y peiriant yn gollwng pecynnau a ailgyfeirir. Yna mae popeth y tu ôl iddo yn colli cysylltedd ar unwaith, ac mae'r methiant yn edrych fel rhwydwaith marw yn hytrach na phroblem VPN.

Ar gyfer labordy neu osodiad dros dro mae'n iawn. Fel trefniant parhaol mae'n gwneud un gliniadur yn unig bwynt methiant cartref, ac mae fel arfer yn gorffen gyda rhywun yn gofyn pam y stopiodd y teledu weithio pan gaewyd caead.

Porthladdoedd i mewn, DNS a'r methiant a rennir

Mae gwasanaethau i mewn yn symud gyda'r twnnel. Mae VPN llwybrydd fel arfer yn torri anfon porthladdoedd ymlaen ar gyfer gweinydd LAN, ac mae'n rhaid i enw DNS dynamig bwyntio at allanfa'r VPN yn hytrach nag at gyfeiriad y ISP os yw'r gwasanaeth i fod yn gyrraeddadwy trwy'r twnnel. Nid yw rhai darparwyr yn cynnig cyfeiriad i mewn y gellir ei lwybro o gwbl, sy'n dod â phob cynllun a ddibynnai ar un i ben yn dawel.

Mae DNS yn dilyn y llwybrydd pan mae'r llwybrydd yn berchen ar y twnnel, sy'n gyfleus nes bod angen datryswr gwahanol ar un ddyfais. Gall cleient fesul dyfais fynegi hynny; ni all polisi llwybrydd heb hollti'r rhwydwaith yn ddau. Mae'r methiant yn cael ei rannu hefyd, oherwydd mae un chwalfa, un tanysgrifiad wedi dod i ben neu un llwybr gwithiedig gwael yn datgysylltu pob dyfais ar yr un eiliad.

Dewiswch fodel y llwybrydd pan na all y dyfeisiau redeg cleientiaid ac mae un allanfa yn dderbyniol. Dewiswch gleientiaid fesul dyfais pan fydd polisïau'n wahanol, pan fydd ar y darparwr angen protocol nad yw'r llwybrydd yn ei gael, neu pan na ddylid rhannu'r cyfrif. Os mai peiriant yw'r borth, nodwch ba ryngwyneb sy'n rhannu pa rwydwaith a phrofwch achos 'twnnel i lawr', oherwydd dyna'r cyflwr lle mae'r rhan fwyaf o'r dyluniadau hyn yn troi allan yn anghywir.