Bridge-Modus ist nicht VPN-Passthrough: was jedes davon ändert
Der Bridge-Modus ändert die Weiterleitungsrolle des Routers; Passthrough lässt nur das VPN eines Clients passieren. Keines von beiden erzeugt einen Tunnel, sie sind also nicht austauschbar.
Bridge-Modus und VPN-Passthrough tauchen im selben Troubleshooting-Thread auf, weil beide als Lösung für ein VPN angeboten werden, das sich nicht verbindet. Sie beschreiben unterschiedliche Routerfunktionen, und keines von beiden erzeugt für sich einen VPN-Tunnel. Bridging ändert, wie ein Gerät Netzwerksegmenten beitritt oder wer das Routing übernimmt; Passthrough entscheidet, ob der VPN-Verkehr eines Clients ein Gateway passieren darf. Die falsche Wahl macht aus einem kleinen Problem einen ganzen Nachmittag voller Neuadressierung.
Zwei Bezeichnungen, zwei verschiedene Funktionen
Der Test ist einfach: Wollen Sie die Form des Netzwerks ändern oder bereits vorhandenen Verkehr hindurchlassen? Das sind verschiedene Anliegen mit verschiedenen Folgen.
Der Vergleich in einer Tabelle:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Nur die letzten beiden erzeugen einen Tunnel auf dem Router. Bridging und Passthrough lassen den Endpunkt beide woanders, deshalb kann keines von beiden ein Problem beheben, das durch einen fehlenden Client oder einen nicht erreichbaren Server entsteht. Die Unterscheidung geht leicht verloren, weil die Einstellungen in derselben Oberfläche nah beieinander liegen. Notieren Sie, welcher Endpunkt den Tunnel besitzt, bevor Sie diese Seite öffnen.
Ein Passthrough-Kästchen ist auch keine vollständige Beschreibung der Protokollunterstützung. Modernes IPsec-NAT-Traversal nutzt standardisierte UDP-Kapselung, während ältere Hilfsfunktionen implementierungsspezifisches Verhalten zeigen.
Ein Marketing-Etikett mit dem Hinweis auf VPN-Unterstützung sagt nicht, welche dieser vier Rollen gemeint ist.
Was der Bridge-Modus auf Ihrem Gerät ändert
Bei einem Modem oder Router verlagert die Bridge-Option normalerweise Routing- und NAT-Aufgaben auf ein anderes Gateway weiter unten. Bei einem Softwaregerät kann es bedeuten, ausgewählte lokale Schnittstellen in einer einzigen Broadcast-Domäne zusammenzufassen. Der genaue Umfang hängt vom Produkt ab, lesen Sie also die Dokumentation zum Modell und nicht zum Wort. Beide Deutungen ändern Adressvergabe, Firewall-Grenzen und den Weg zur Administration.
Genau deshalb ist Bridging eine schlechte erste Reaktion auf einen VPN-Fehler. Sie können den Verwaltungsweg verlieren, während das ursprüngliche Problem weiter ungelöst ist.
Legen Sie eine Sicherung der Konfiguration an, bevor Sie die Netzwerkrolle ändern, denn die Adressierung kann mitwandern.
Erst die Rolle, dann die Einstellung
Um den Verkehr eines Haushalts über einen externen Ausgang zu leiten, brauchen Sie einen kompatiblen Router-VPN-Client, keinen Bridge-Modus. Um sich von anderswo nach Hause zu verbinden, brauchen Sie die Serverrolle plus einen Upstream-Pfad, der sie erreicht. Diese beiden Anforderungen haben außer dem Wort VPN fast nichts gemeinsam. Entscheiden Sie, was Sie bauen, bevor Sie ein Menü ansehen.
Ein Gerät kann beide Rollen unterstützen und trotzdem nicht die benötigte in der erwarteten Geschwindigkeit.
Die Rolle ist eine Designentscheidung; die Einstellung ist ihre Folge.
Wenn nur ein Protokoll scheitert
Wenn ein Protokoll hinter einem ansonsten funktionierenden Router scheitert, untersuchen Sie zuerst Transport und NAT-Pfad dieses Protokolls. Den gesamten Gateway-Modus zu ändern, um einen Client zu reparieren, entspricht dem Neuverdrahten eines Hauses, weil eine Lampe defekt ist. Prüfen Sie, ob der Verkehr UDP-gekapselt ist, ob die Hilfsfunktion des Routers für dieses Protokoll gilt und ob der Fehler symmetrisch ist. Dann entscheiden Sie, ob ein Rollenwechsel tatsächlich gerechtfertigt ist.
RFC 3948 beschreibt die UDP-Kapselung, durch die IPsec NAT übersteht, und das ist der Standard, den man prüfen sollte, bevor man einem Passthrough-Kästchen vertraut.
Halten Sie fest, was Sie geändert haben und warum, denn die nächste Person findet das Gerät im Bridge-Modus vor und nimmt an, es sei Absicht gewesen. Das richtige Ergebnis ist ein Netzwerk, dessen Form Sie gewählt haben, nicht eines, das Sie aus einer Troubleshooting-Sitzung geerbt haben.