Bridge-tilstand er ikke VPN-passthrough: hvad hver af dem ændrer
Bridge-tilstand ændrer routerens videresendelsesrolle; passthrough lader blot en klients VPN passere. Ingen af dem opretter en tunnel, så de kan ikke erstatte hinanden.
Bridge-tilstand og VPN-passthrough nævnes i samme fejlfindingsopslag, fordi begge tilbydes som løsning på en VPN, der ikke vil forbinde. De beskriver forskellige routerfunktioner, og ingen af dem opretter selv en VPN-tunnel. Brodannelse ændrer, hvordan en enhed slutter sig til netværkssegmenter, eller hvem der udfører routingen; passthrough afgør, om en klients VPN-trafik kan krydse en gateway. Det forkerte valg gør et lille problem til en hel eftermiddag med omadressering.
To navne, to forskellige funktioner
Testen er enkel: forsøger du at ændre netværkets form, eller at lade trafik, der allerede findes, passere igennem? Det er to forskellige anmodninger med forskellige konsekvenser.
Sammenligningen i én tabel:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Kun de to sidste opretter en tunnel på routeren. Brodannelse og passthrough efterlader begge endepunktet et andet sted, og derfor kan ingen af dem løse et problem, der skyldes en manglende klient eller en utilgængelig server. Forskellen er let at tabe, fordi indstillingerne ligger tæt på hinanden i samme grænseflade. Skriv ned, hvilket endepunkt der ejer tunnelen, før du åbner den side.
Et flueben til passthrough er heller ikke en fuldstændig beskrivelse af protokolunderstøttelsen. Moderne IPsec NAT-traversal bruger standardiseret UDP-indkapsling, mens ældre hjælpefunktioner har implementeringsspecifik adfærd.
Et marketingmærke, der siger VPN-understøttelse, fortæller dig ikke, hvilken af disse fire roller der menes.
Hvad bridge-tilstand ændrer på din enhed
På et modem eller en router flytter bridge-indstillingen normalt routing- og NAT-ansvar til en anden gateway længere nede. På en softwareenhed kan det betyde, at udvalgte lokale grænseflader føjes sammen i ét broadcast-domæne. Det præcise omfang afhænger af produktet, så læs dokumentationen for modellen frem for for ordet. Begge fortolkninger ændrer adressetildeling, firewallgrænser og hvordan du når administrationen.
Det sidste er grunden til, at brodannelse er et dårligt første svar på en VPN-fejl. Du kan miste administrationsvejen, mens det oprindelige problem stadig er uløst.
Gem en sikkerhedskopi af konfigurationen, før du ændrer netværksrollen, fordi adresseringen kan flytte med.
Vælg rollen før indstillingen
For at sende husstandens trafik gennem en ekstern udgang skal du bruge en kompatibel router-VPN-klient, ikke en bridge. For at forbinde hjem igen fra et andet sted skal du bruge serverrollen plus en opstrøms vej, der kan nå den. De to krav har næsten intet til fælles ud over ordet VPN. Beslut, hvilken du bygger, før du ser på en menu.
En enhed kan understøtte begge roller og stadig ikke understøtte den, du har brug for, i det tempo du forventer.
Rollen er en designbeslutning; indstillingen er en konsekvens af den.
Hvis kun én protokol fejler
Når én protokol fejler bag en ellers fungerende router, skal du først undersøge den protokols transport og NAT-vej. At ændre hele gateway-tilstanden for at ordne én klient svarer til at trække nye ledninger i et hus, fordi en lampe er gået. Kontroller, om trafikken er UDP-indkapslet, om routerens hjælpefunktion gælder for den protokol, og om fejlen er symmetrisk. Beslut derefter, om en rolændring reelt er berettiget.
RFC 3948 beskriver den UDP-indkapsling, der gør, at IPsec overlever NAT, og det er standarden, du skal tjekke, før du stoler på et passthrough-flueben.
Notér, hvad du ændrede og hvorfor, fordi den næste person finder enheden i bridge-tilstand og antager, at det var med vilje. Det korrekte resultat er et netværk, hvis form du valgte, ikke et du arvede fra en fejlfindingssession.