Η λειτουργία γέφυρας δεν είναι διάβαση VPN: τι αλλάζει η καθεμία

Η λειτουργία γέφυρας και η διάβαση VPN αναφέρονται στο ίδιο νήμα αντιμετώπισης προβλημάτων επειδή και οι δύο προτείνονται ως λύση για VPN που δεν συνδέεται. Περιγράφουν διαφορετικές λειτουργίες του δρομολογητή και καμία από τις δύο δεν δημιουργεί από μόνη της σήραγγα VPN. Η γεφύρωση αλλάζει πώς μια συσκευή ενώνεται με τμήματα δικτύου ή ποιος κάνει τη δρομολόγηση· η διάβαση αποφασίζει αν η κίνηση VPN ενός πελάτη μπορεί να περάσει μια πύλη. Η λάθος επιλογή μετατρέπει ένα μικρό πρόβλημα σε ένα ολόκληρο απόγευμα επαναδιευθυνσιοδότησης.

Δύο ονόματα, δύο διαφορετικές λειτουργίες

Η δοκιμή είναι απλή: προσπαθείτε να αλλάξετε το σχήμα του δικτύου ή να αφήσετε κίνηση που ήδη υπάρχει να περάσει από μέσα του; Πρόκειται για διαφορετικά αιτήματα με διαφορετικές συνέπειες.

Η σύγκριση σε έναν πίνακα:

Μόνο οι δύο τελευταίες δημιουργούν σήραγγα στον δρομολογητή. Η γεφύρωση και η διάβαση αφήνουν και οι δύο το τελικό σημείο αλλού, γι' αυτό καμία δεν μπορεί να διορθώσει πρόβλημα που προκαλείται από πελάτη που λείπει ή διακομιστή που δεν είναι προσβάσιμος. Η διάκριση χάνεται εύκολα επειδή οι ρυθμίσεις βρίσκονται κοντά η μία στην άλλη στην ίδια διεπαφή. Σημειώστε ποιο τελικό σημείο κατέχει τη σήραγγα πριν ανοίξετε εκείνη τη σελίδα.

Ούτε το πλαίσιο ελέγχου διάβασης είναι πλήρης περιγραφή της υποστήριξης πρωτοκόλλων. Η σύγχρονη διέλευση NAT στο IPsec χρησιμοποιεί τυποποιημένη ενθυλάκωση UDP, ενώ παλαιότερες βοηθητικές λειτουργίες έχουν συμπεριφορά ειδική για την υλοποίηση.

Μια ετικέτα μάρκετινγκ που λέει υποστήριξη VPN δεν σας λέει ποιον από αυτούς τους τέσσερις ρόλους εννοεί.

Τι αλλάζει η λειτουργία γέφυρας στη συσκευή σας

Σε μόντεμ ή δρομολογητή, η επιλογή γέφυρας συνήθως μεταφέρει τις ευθύνες δρομολόγησης και NAT σε άλλη πύλη πιο κάτω. Σε συσκευή λογισμικού μπορεί να σημαίνει ένωση επιλεγμένων τοπικών διεπαφών σε έναν μόνο τομέα εκπομπής. Η ακριβής έκταση εξαρτάται από το προϊόν, γι' αυτό διαβάστε την τεκμηρίωση για το μοντέλο και όχι για τη λέξη. Και οι δύο ερμηνείες αλλάζουν την εκχώρηση διευθύνσεων, τα όρια του τείχους προστασίας και τον τρόπο πρόσβασης στη διαχείριση.

Γι' αυτό η γεφύρωση είναι κακή πρώτη αντίδραση σε αποτυχία VPN. Μπορεί να χάσετε τη διαδρομή διαχείρισης ενώ το αρχικό πρόβλημα παραμένει άλυτο.

Κρατήστε αντίγραφο ασφαλείας της διαμόρφωσης πριν αλλάξετε τον ρόλο δικτύου, γιατί η διευθυνσιοδότηση μπορεί να μετακινηθεί μαζί του.

Επιλέξτε τον ρόλο πριν από τη ρύθμιση

Για να στείλετε την κίνηση του σπιτιού μέσα από εξωτερική έξοδο, χρειάζεστε συμβατό πρόγραμμα-πελάτη VPN στον δρομολογητή, όχι γέφυρα. Για να συνδεθείτε πίσω στο σπίτι από αλλού, χρειάζεστε τον ρόλο διακομιστή και μια διαδρομή ανάντη που μπορεί να τον φτάσει. Αυτές οι δύο απαιτήσεις δεν έχουν σχεδόν τίποτα κοινό πέρα από τη λέξη VPN. Αποφασίστε ποιο από τα δύο χτίζετε πριν κοιτάξετε ένα μενού.

Μια συσκευή μπορεί να υποστηρίζει και τους δύο ρόλους και παρόλα αυτά να μην υποστηρίζει αυτόν που χρειάζεστε με τον ρυθμό που περιμένετε.

Ο ρόλος είναι σχεδιαστική απόφαση· η ρύθμιση είναι συνέπειά της.

Αν αποτυγχάνει μόνο ένα πρωτόκολλο

Όταν ένα πρωτόκολλο αποτυγχάνει πίσω από έναν δρομολογητή που κατά τα άλλα λειτουργεί, ερευνήστε πρώτα τη μεταφορά και τη διαδρομή NAT του πρωτοκόλλου. Το να αλλάξετε ολόκληρη τη λειτουργία πύλης για να διορθώσετε έναν πελάτη ισοδυναμεί με το να ξαναπεράσετε καλώδια σε ένα σπίτι επειδή χάλασε μια λάμπα. Ελέγξτε αν η κίνηση είναι ενθυλακωμένη σε UDP, αν η βοηθητική λειτουργία του δρομολογητή ισχύει για αυτό το πρωτόκολλο και αν η αποτυχία είναι συμμετρική. Έπειτα αποφασίστε αν η αλλαγή ρόλου δικαιολογείται πραγματικά.

RFC 3948 περιγράφει την ενθυλάκωση UDP που κάνει το IPsec να επιβιώνει από το NAT, και είναι το πρότυπο που πρέπει να ελέγξετε πριν εμπιστευτείτε ένα πλαίσιο διάβασης.

Καταγράψτε τι αλλάξατε και γιατί, γιατί ο επόμενος άνθρωπος θα βρει τη συσκευή σε λειτουργία γέφυρας και θα υποθέσει ότι ήταν σκόπιμο. Το σωστό αποτέλεσμα είναι ένα δίκτυο που το σχήμα του το επιλέξατε εσείς, όχι ένα που κληρονομήσατε από μια συνεδρία αντιμετώπισης προβλημάτων.