VPN-Client auf dem Router oder Servermodus: Was jedes davon ermöglicht
Die eine Routerrolle schickt Ihren Datenverkehr zu einem entfernten Ausgang, die andere lässt Sie wieder herein. Lesen Sie die Menüs, Zugangsdaten und den Rückweg, bevor Sie eines von beidem aktivieren.
Sie melden sich am Router an, öffnen die VPN-Seite und finden zwei Registerkarten, die wie dieselbe Funktion zweimal beschrieben aussehen: Die eine will eine Profildatei von woanders, die andere möchte, dass Sie Zertifikate erzeugen und einen Port auswählen. Es sind nicht zwei Ansichten einer Einstellung. Die eine Rolle bringt den Router dazu, nach außen zu wählen, die andere dazu, zu antworten, und ein Gerät kann beides leisten, ohne dass das eine dem anderen hilft. So lesen Sie das Menü und entscheiden, auf welcher Seite Sie stehen, bevor Sie etwas aktivieren.
Öffnen Sie das VPN-Menü und lesen Sie die Rollennamen
Beginnen Sie mit den Abschnittsüberschriften statt mit den Schaltern. Eine Registerkarte mit der Bezeichnung Client oder „Mit einem VPN-Dienst verbinden“ erwartet ein importiertes Profil, eine Konfigurationsdatei oder einen Satz Zugangsdaten, die jemand anderes ausgestellt hat. Eine Registerkarte mit der Bezeichnung Server erwartet, dass Sie die Identitäten anlegen, ein Protokoll und einen Port wählen und in der Regel ein Profil für jedes Gerät exportieren, das sich verbinden wird.
Behandeln Sie die Marketingzeile auf der Verpackung als unbestätigt, bis das Menü dazu passt. „VPN unterstützt“ kann einen Client bedeuten, einen Server, einen Protokoll-Durchreichhelfer, der Pakete nur an ein Gerät hinter dem Router weiterleitet, oder eine herstellereigene Fernzugriffs-App ganz ohne Standardprofil. Nur die Firmware-Dokumentation unterscheidet diese Fälle, die Modellnummer auf dem Aufkleber nicht.
Clientmodus: Ihr LAN verlässt über den Ausgang eines anderen
Im Clientmodus verhält sich der Router wie ein Laptop mit einer VPN-App. Er braucht ein kompatibles Protokoll, ein Profil oder Zugangsdaten vom entfernten Betreiber und eine Routingentscheidung darüber, welche nachgelagerten Geräte den Tunnel nutzen. Viele Firmwares bieten eine Richtlinienliste, in der Sie die Quelladressen oder Schnittstellen benennen, die durch den Tunnel gehen sollen, und den Rest auf der normalen Verbindung lassen.
Der Teil, der still scheitert, ist die Gegenseite. Der Endpunkt, mit dem Sie sich verbinden, muss Internetverkehr für Sie weiterleiten und einen Rückweg bereitstellen, und das ist eine Richtlinie beim Anbieter, keine Einstellung auf Ihrem Router. Ein Menü, das nur den Servermodus anbietet, kann diesen nach außen gerichteten Dienst nicht aufbauen, egal wie es konfiguriert ist, und ein Anbieter, der nur Standort-zu-Standort-Verbindungen unterstützt, kann den Tunnel erfolgreich aufbauen und trotzdem alles verwerfen, was Sie hindurch schicken.
Prüfen Sie als Nächstes, wie der Tunnel mit DNS umgeht. Wenn das Profil einen Resolver mitgibt, sollte der Router diesen Resolver an nachgelagerte Clients weiterreichen; wenn nicht, nutzen die Clients weiterhin den Resolver des Providers und lösen Namen außerhalb des Tunnels auf, obwohl die Pakete im Tunnel laufen. Eine schnelle Prüfung von einem verbundenen Laptop: Die Adresse, die Sie auf einer IP-Echo-Seite sehen, sollte der Ausgang sein, und die verwendete Resolver-Adresse sollte die vom Tunnel gelieferte sein.
Servermodus: Jemand anderes kommt in Ihr LAN
Der Servermodus kehrt die Richtung um. Der Router lauscht, das reisende Gerät verbindet sich, und der Router entscheidet dann, welche Ressourcen zu Hause diese Verbindung erreichen darf. Diese Rolle wollen Sie für ein NAS, eine Labormaschine oder einen Drucker, und sie hat eine Voraussetzung, die die Clientrolle nicht hat: Etwas von außen muss den Lauscher erreichen können.
Genau an dieser Voraussetzung hängen die meisten Heiminstallationen. Steht der Router hinter dem eigenen Gateway des Providers, muss der VPN-Port von diesem Gateway weitergeleitet werden, oder der Router muss in den Bridge- oder DMZ-Modus versetzt werden. Hinter Carrier-Grade-NAT gibt es überhaupt keinen eingehenden Port zum Weiterleiten, also muss das Design geändert werden: ein ausgehender Tunnel vom Router zu einem Relay, einem gehosteten Endpunkt oder einem Mesh-Produkt. Ein Server, der nicht erreichbar ist, ist nicht falsch konfiguriert, er ist unerreichbar.
Auch die Identitäten unterscheiden sich je nach Rolle. Ein Haushalts-Clientprofil, das alles zu einem bezahlten Ausgang schickt, ist ein gemeinsames Geheimnis, während ein Server, der drei Telefone und einen Laptop zulässt, vier Identitäten braucht, die Sie einzeln widerrufen können. Zertifikate und Schlüssel gelten pro Gerät, und die Exportseite des Routers sollte Ihnen eine Datei pro Gerät geben statt einer Datei für den ganzen Haushalt.
Prüfen Sie die genaue Umsetzung, bevor Sie sich festlegen
Die Dokumentation von Netgate zur Wahl einer VPN-Rolle trennt die Rollen auf diese Weise, und es lohnt sich, die entsprechende Seite für Ihre Firmware zu lesen, statt aus den Registerkartennamen zu schließen. Suchen Sie drei konkrete Fakten: welche Protokolle der Client sprechen kann, ob der Server das Protokoll unterstützt, das Ihre Geräte verwenden, und ob die Routingrichtlinie Quelladressen, ganze Schnittstellen oder gar nichts abdeckt.
Schauen Sie dann auf die Supportgrenze. Ein Verbraucherrouter mit Client-Registerkarte, aber ohne Richtlinienliste schickt jedes Gerät durch den Tunnel, was für eine Streaming-Box in Ordnung und für einen Arbeitslaptop falsch ist, der den Büro-Tunnel braucht. Ein Router mit Server-Registerkarte, aber einem einzigen gemeinsamen Profil ist ein brauchbares Laborwerkzeug und eine schlechte Wahl für eine Familie, denn ein Gerät zu widerrufen bedeutet, die Konfiguration aller zu ändern.
Wählen Sie die Rolle danach, wo der Verkehr beginnt
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Gehen Sie die gewählte Zeile von Anfang bis Ende durch, bevor Sie etwas anderes ändern. Aktivieren Sie die Rolle, verbinden Sie einen Client, bestätigen Sie die Adresse, unter der er erscheint, bestätigen Sie, welchen Resolver er nutzt, und bestätigen Sie den Rückweg in der Gegenrichtung. Hat der Router auch eine Firewall-Seite, prüfen Sie, ob die neue Schnittstelle nicht durch eine Standardregel blockiert wird, die geschrieben wurde, als der Tunnel noch nicht existierte.
Wenn beide Rollen verfügbar sind und die Anforderung tatsächlich beide umfasst, betreiben Sie sie als getrennte Funktionen mit getrennter Dokumentation. Ein Router kann für den Fernseher nach außen wählen und gleichzeitig eine Telefonverbindung zum NAS annehmen, aber die beiden Richtlinien dürfen sich weder ein Subnetz noch eine DNS-Einstellung noch eine Firewallzone teilen, sonst bricht die erste Änderung, die Sie für die eine vornehmen, die andere.