Kontrollér routerens klientrolle, før du importerer en VPN-profil

En specifikationsside med et VPN-logo fortæller, at boksen kan gøre noget med VPN. Den fortæller ikke, at firmwaren kan fungere som klient for den protokol, der ligger i den fil, du holder i hånden. Det er forskellige evner med forskellige krav, og kløften mellem dem er, hvor de fleste af disse køb går galt. Kontrollér rollen før mærket.

Fire kontroller gør en funktionsliste til et svar.

Et VPN-logo er ikke en erklæring om kapacitet

Routere reklamerer for VPN-understøttelse i mindst tre betydninger: gennemløb for trafik fra andre enheder, en server der modtager indgående tunneller, og en klient der starter en udgående tunnel. Kun den tredje bruger den profil, du downloadede. Gennemløb for IPsec er især en NAT-hjælper og ikke et endepunkt, og det optræder på enheder, der slet ikke kan afslutte eller starte IPsec.

Spørg, hvilken rolle filen kræver, og spørg så, om den rolle findes i firmwareversionen på enheden.

Læs funktionslisten for den firmware, du faktisk kører

Modelnavne er ikke firmwareversioner, og en guide skrevet til den forrige hovedudgivelse beskriver et andet funktionssæt. På OpenWrt kan spørgsmålet besvares fra en shell: opkg list-installed | grep -E "openvpn|wireguard" viser, om klientpakkerne er til stede, og WireGuard-kernemodulet er adskilt fra værktøjerne i brugerland. På en leverandørenhed skal du læse udgivelsesnoterne for den installerede build i stedet for markedsføringssiden for modellen.

Hvis evnen leveres som en pakke, så bekræft, at den er installeret og ikke blot tilgængelig i repositoriet.

Afstem profilformatet med importøren

En OpenVPN-profil er et direktivsprog. En WireGuard-peerfil er en INI med en privat nøgle og en liste over tilladte IP-adresser. IKEv2-legitimationsoplysninger er et certifikat eller et brugernavn plus en serveridentitet. En routerformular, der accepterer en af dem, oversætter ikke de andre, og en importknap, der påstår at acceptere alt, fortjener mistanke.

Åbn filen, og læs de første ti linjer. Det fortæller dig, hvilken importør du har brug for, før nogen menu gør det.

Kontrollér de valgmuligheder, profilen faktisk bruger

Understøttelse af protokollen er ikke understøttelse af din profil. Se på de direktiver, der bærer sikkerhedsegenskaberne: indlejrede certifikater, tls-crypt eller tls-auth, valg af cipher og datacipher, komprimering og scriptkroge. En routerimplementering kan acceptere filen og lydløst ignorere et direktiv, den ikke implementerer, hvilket giver en tunnel, der forbinder og opfører sig anderledes end den på din bærbare computer.

Det farlige resultat er ikke en afvist import. Det er en accepteret import, der stille har tabt noget.

Test politikken, ikke kun håndtrykket

Beslut, hvad forbindelsen skal bære: ét segment eller hver enhed, hvilken DNS-resolver, om IPv6 går ind i tunnellen eller bliver lokal, og hvad der sker, når tunnellen falder. Det er særskilte funktioner fra etablering, og det er her, en router adskiller sig mest fra en desktopklient. Hold lokal administration tilgængelig, mens du tester, ellers koster den første routingfejl dig fysisk adgang.

Et fuldført håndtryk er begyndelsen på verifikationen. Send rigtig trafik til en rigtig destination, og kontrollér returvejen.