Telefonen uden for VPN? Rutertunnel kontra klient per enhed

Laptoppen er forbundet til VPN'et, telefonen er på samme Wi-Fi, og telefonen browser stadig fra ISP-adressen. Det er ikke en klientfejl: en tunnel lever på den maskine, der afslutter den, og intet andet arver den ved nærhed. Dækningen spredes kun, når routeren selv kører klienten, eller når en maskine bevidst gøres til gateway for LAN'et. Hvilken model du vil have, afgøres af tre ting: den protokol, din udbyder faktisk taler, hvor forskelligt enhederne skal behandles, og hvilken fejl du kan leve med klokken ni om aftenen.

Hvad en rutertunnel faktisk dækker

Når tunnelen afsluttes på routeren, deler hver enhed, der router gennem den, udgangen. Det er tiltrækningen ved et tv, en konsol eller et apparat, der aldrig kommer til at køre en klient: intet at installere, intet at holde opdateret og ét sted at skifte udbyder.

Dækningen er betinget på måder, der overrasker folk. Et gæstenetværk eller et ekstra SSID med egen politik følger den vej, politikken angiver, ikke tunnelen. En IPv6-vej kan omgå en tunnel, der kun bærer IPv4. En enhed med sin egen VPN-app eller sin egen krypterede resolver ignorerer routeren helt. Og routerens egen trafik, opdateringer og DNS inkluderet, følger dens udgangspolitik, som er en anden vej end LAN'ets videresendte trafik.

Kontrollen er den samme i begge modeller og tager et minut: spørg to enheder, hvilken adresse verden ser, og se derefter routerens forbindelsesliste efter tunnelen. Hvis telefonen rapporterer ISP-adressen, mens routeren viser en etableret tunnel, router telefonen ikke gennem den, og ingen genopkobling ændrer det.

Hvor en klient per enhed vinder

Klienter per enhed vinder, så snart kravene divergerer. En arbejdslaptop kan have brug for en virksomhedstunnel, som telefonen ikke må tilslutte sig; en udbyderklient tilbyder måske split tunnelling per program, hvilket en router ikke kan udtrykke; en konsol skal måske blive udenfor for at beholde sin NAT-type. Hver enhed fejler også for sig selv, så ét udløbet abonnement bringer ikke hele huset til tavshed.

Legitimationsoplysninger er argumentet, der bider mere. En router, der forbinder på alles vegne, holder én konto, og hver person på netværket arver dens adgang. Hvis hensigten er autentificering per person før internetadgang, kan en rutertunnel alene ikke gøre det. Det sædvanlige design er en captive portal, der validerer kontoen og derefter lukker klienten ind i en allerede etableret tunnel, hvilket er flere bevægelige dele, end de fleste hjem vil have.

Protokolunderstøttelse afgør flere sager end præference

Forbrugerroutere udstiller kun de protokoller, producenten leverede. En router med PPTP, L2TP eller almindelig IPsec kan ikke forbinde til en udbyder, der kun publicerer OpenVPN eller WireGuard-profiler, og ingen konfiguration ændrer det. De ærlige muligheder er en udbyder, der taler en understøttet protokol, en router med OpenWrt eller anden firmware med den klient, du har brug for, eller en klient på hver enhed.

Det omvendte tilfælde er lige så almindeligt: en OpenVPN-kapabel router kan ikke bruge en udbyder, hvis tjeneste afhænger af en egen klient og dens egne routingtricks. Læs udbyderens side om understøttede protokoller, før du køber hardware, og kontrollér firmwareversionen, for 'understøtter WireGuard' på en produktside betyder ofte én bestemt firmwaregeneration.

En rejserouter med WireGuard-klient er den billige version af routermodelen og et rimeligt svar til en håndfuld enheder, der ikke kan køre en klient. Det er stadig en rutertunnel, så alt ovenstående om gæstenetværk, IPv6 og delt fejl gælder uændret.

Den tredje mulighed: en maskine som gateway

At dele en klient fra en laptop er muligt, og det er, hvad folk normalt mener med at gøre laptoppen til en router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Det virker, indtil maskinen sover, klienten genopkobler til en anden profil, eller maskinens egen firewall dropper videresendte pakker. Så mister alt bag den forbindelsen på én gang, og fejlen ligner et dødt netværk snarere end et VPN-problem.

Til et laboratorium eller en midlertidig opsætning er det fint. Som permanent ordning gør det én laptop til husstandens eneste fejlpunkt, og det ender normalt med, at nogen undrer sig over, hvorfor tv'et holdt op med at virke, da et låg blev lukket.

Indgående porte, DNS og fejlen, I deler

Indgående tjenester flytter med tunnelen. Et router-VPN bryder normalt port forwarding for en LAN-server, og et dynamisk DNS-navn skal pege på VPN-udgangen i stedet for på ISP-adressen, hvis tjenesten skal kunne nås gennem tunnelen. Nogle udbydere tilbyder slet ikke en routbar indgående adresse, hvilket stille afslutter enhver plan, der byggede på en.

DNS følger routeren, når routeren ejer tunnelen, hvilket er bekvemt, indtil én enhed har brug for en anden resolver. En klient per enhed kan udtrykke det; en routerpolitik kan ikke uden at dele netværket i to. Fejlen deles også, for et crash, et udløbet abonnement eller en dårlig pushet rute afbryder hver enhed i samme øjeblik.

Vælg routermodelen, når enhederne ikke kan køre klienter, og én udgang er acceptabel. Vælg klienter per enhed, når politikkerne er forskellige, når udbyderen kræver en protokol, som routeren mangler, eller når kontoen ikke må deles. Hvis en maskine er gateway, så skriv ned, hvilken grænseflade der deler hvilket netværk, og test tilfældet 'tunnel nede', for det er den tilstand, hvor de fleste af disse design viser sig at være forkerte.