VPN-klient på routeren kontra servertilstand: hvad hver enkelt muliggør

Du logger ind på routeren, åbner VPN-siden og finder to faner, der ligner den samme funktion beskrevet to gange: den ene vil have en profilfil fra et andet sted, den anden vil have dig til at generere certifikater og vælge en port. De er ikke to visninger af én indstilling. Den ene rolle får routeren til at ringe ud, den anden får den til at svare, og én boks kan gøre begge dele, uden at den ene hjælper den anden. Her er, hvordan du læser menuen og beslutter, hvilken side du er på, før du aktiverer noget.

Åbn VPN-menuen, og læs rollenavnene

Start med sektionsoverskrifterne i stedet for kontakterne. En fane med navnet klient eller “opret forbindelse til en VPN-tjeneste” forventer en importeret profil, en konfigurationsfil eller et sæt legitimationsoplysninger, som en anden har udstedt. En fane med navnet server forventer, at du opretter identiteterne, vælger en protokol og en port og normalt eksporterer en profil til hver enhed, der skal forbinde.

Behandl marketinglinjen på æsken som ubekræftet, indtil menuen passer til den. “VPN understøttet” kan betyde en klient, en server, en protokolgennemgangshjælper, der kun videresender pakker til en enhed bag routeren, eller en egen fjernadgangsapp uden nogen standardprofil. Firmware-dokumentationen er det eneste sted, der skelner mellem de tilfælde, og modelnummeret på klistermærket gør ikke.

Klienttilstand: dit LAN forlader gennem en andens udgang

I klienttilstand opfører routeren sig som en bærbar computer, der kører en VPN-app. Den har brug for en kompatibel protokol, en profil eller legitimationsoplysninger fra den eksterne operatør og en routingbeslutning om, hvilke nedstrømsenheder der bruger tunnelen. Mange firmwareversioner tilbyder en politikliste, hvor du navngiver kildeadresserne eller grænsefladerne, der skal sendes gennem tunnelen, og lader resten blive på den normale forbindelse.

Den del, der fejler i det stille, er den eksterne side. Endepunktet, du opretter forbindelse til, skal videresende internettrafik for dig og give en returvej, og det er en politik hos udbyderen, ikke en indstilling på din router. En menu, der kun tilbyder servertilstand, kan ikke bygge denne udgående tjeneste, uanset hvordan den konfigureres, og en udbyder, der kun understøtter site-til-site-forbindelser, kan forbinde tunnelen med succes, men droppe alt, hvad du sender gennem den.

Kontroller derefter, hvordan tunnelen håndterer DNS. Hvis profilen skubber en resolver, bør routeren give den resolver videre til nedstrømsklienter; hvis ikke, bliver klienterne ved med at bruge udbyderens resolver og opløser navne uden for tunnelen, selv om pakkerne går indeni. En hurtig kontrol fra en tilsluttet bærbar computer: adressen, du ser på en IP-ekko-side, bør være udgangen, og den resolveradresse, der bruges, bør være den, tunnelen har leveret.

Servertilstand: nogen andre ankommer i dit LAN

Servertilstand vender retningen. Routeren lytter, den rejsende enhed opretter forbindelse, og routeren afgør derefter, hvilke hjemmeressourcer den forbindelse må nå. Det er den rolle, du vil have til en NAS, en laboratoriemaskine eller en printer, og den har en forudsætning, som klientrollen ikke har: noget udefra skal kunne nå lytteren.

Det er den forudsætning, hvor de fleste hjemmeopsætninger går i stå. Hvis routeren står bag udbyderens egen gateway, skal VPN-porten videresendes fra den gateway, eller routeren skal sættes i bridge- eller DMZ-tilstand. Bag carrier-grade NAT er der slet ingen indgående port at videresende, så designet skal ændres: en udgående tunnel fra routeren til et relæ, et hostet endepunkt eller et mesh-produkt. En server, der ikke kan nås, er ikke forkert konfigureret, den er uopnåelig.

Identiteter varierer også efter rolle. En husstandsklientprofil, der sender alt til en betalt udgang, er én delt hemmelighed, mens en server, der lukker tre telefoner og en bærbar ind, har brug for fire identiteter, som du kan tilbagekalde hver for sig. Certifikater og nøgler gælder per enhed, og routerens eksportside bør give dig én fil per enhed i stedet for én fil til husstanden.

Kontroller den præcise implementering, før du binder dig

Netgates dokumentation om at vælge en VPN-rolle adskiller rollerne på denne måde, og det er værd at læse den tilsvarende side til din firmware i stedet for at gætte ud fra fanenavnene. Se efter tre konkrete fakta: hvilke protokoller klienten kan tale, om serveren understøtter den protokol, dine enheder bruger, og om routingpolitikken dækker kildeadresser, hele grænseflader eller slet intet.

Se derefter på supportgrænsen. En forbrugerrouter med en klientfane, men uden politikliste, sender hver enhed gennem tunnelen, hvilket er fint til en streamingboks og forkert til en arbejdsbærbar, der har brug for kontorets tunnel. En router med en serverfane, men en enkelt delt profil, er et rimeligt laboratorieværktøj og et dårligt valg for en familie, fordi tilbagekaldelse af én enhed betyder at ændre alles konfiguration.

Vælg rollen efter, hvor trafikken starter

Gå den valgte række igennem fra ende til anden, før du ændrer noget andet. Aktivér rollen, tilslut én klient, bekræft den adresse, den vises som, bekræft hvilken resolver den bruger, og bekræft returvejen i den modsatte retning. Hvis routeren også har en firewall-side, skal du kontrollere, at den nye grænseflade ikke blokeres af en standardregel, der blev skrevet, da tunnelen ikke fandtes.

Når begge roller er tilgængelige, og kravet reelt er begge, skal du køre dem som separate funktioner med separat dokumentation. En router kan ringe ud til tv’et og samtidig acceptere en telefonforbindelse til NAS’en, men de to politikker må ikke dele et subnet, en DNS-indstilling eller en firewallzone, ellers ødelægger den første ændring, du laver for den ene, den anden.