Το τηλέφωνο εκτός VPN; Τούνελ δρομολογητή ή πελάτης ανά συσκευή

Ο φορητός υπολογιστής είναι συνδεδεμένος στο VPN, το τηλέφωνο είναι στο ίδιο Wi-Fi και το τηλέφωνο περιηγείται ακόμη από τη διεύθυνση του ISP. Αυτό δεν είναι σφάλμα πελάτη: ένα τούνελ ζει στο μηχάνημα που το τερματίζει και τίποτα άλλο δεν το κληρονομεί λόγω γειτνίασης. Η κάλυψη απλώνεται μόνο όταν ο δρομολογητής εκτελεί ο ίδιος τον πελάτη, ή όταν ένα μηχάνημα μετατρέπεται σκόπιμα σε πύλη για το LAN. Το μοντέλο που θέλετε το κρίνουν τρία πράγματα: το πρωτόκολλο που μιλάει πραγματικά ο πάροχός σας, πόσο διαφορετικά πρέπει να αντιμετωπίζονται οι συσκευές και ποια αποτυχία αντέχετε στις εννιά το βράδυ.

Τι καλύπτει στην πραγματικότητα ένα τούνελ δρομολογητή

Όταν το τούνελ τερματίζεται στον δρομολογητή, κάθε συσκευή που δρομολογεί μέσω αυτού μοιράζεται την έξοδο. Αυτό είναι το δέλεαρ για μια τηλεόραση, μια κονσόλα ή μια συσκευή που δεν θα εκτελέσει ποτέ πελάτη: τίποτα να εγκαταστήσετε, τίποτα να κρατήσετε ενημερωμένο και ένα σημείο για να αλλάξετε πάροχο.

Η κάλυψη είναι υπό όρους με τρόπους που εκπλήσσουν. Ένα δίκτυο επισκεπτών ή ένα δεύτερο SSID με δική του πολιτική ακολουθεί τη διαδρομή που ορίζει αυτή η πολιτική, όχι το τούνελ. Μια διαδρομή IPv6 μπορεί να παρακάμψει ένα τούνελ που μεταφέρει μόνο IPv4. Μια συσκευή με δική της εφαρμογή VPN ή δικό της κρυπτογραφημένο resolver αγνοεί εντελώς τον δρομολογητή. Και η δική του κίνηση του δρομολογητή, ενημερώσεις και DNS μαζί, ακολουθεί την πολιτική εξόδου του, που είναι διαφορετική διαδρομή από την προωθημένη κίνηση του LAN.

Ο έλεγχος είναι ίδιος και στα δύο μοντέλα και διαρκεί ένα λεπτό: ρωτήστε δύο συσκευές ποια διεύθυνση βλέπει ο κόσμος και μετά κοιτάξτε στη λίστα συνδέσεων του δρομολογητή για το τούνελ. Αν το τηλέφωνο αναφέρει τη διεύθυνση του ISP ενώ ο δρομολογητής δείχνει εγκατεστημένο τούνελ, το τηλέφωνο δεν δρομολογείται μέσω αυτού, και καμία επανασύνδεση δεν το αλλάζει.

Πού κερδίζει ο πελάτης ανά συσκευή

Οι πελάτες ανά συσκευή κερδίζουν μόλις αποκλίνουν οι απαιτήσεις. Ένας φορητός εργασίας μπορεί να χρειάζεται εταιρικό τούνελ στο οποίο το τηλέφωνο δεν πρέπει να μπει· ένας πελάτης παρόχου μπορεί να προσφέρει διαχωρισμένο τούνελ ανά εφαρμογή, κάτι που ο δρομολογητής δεν μπορεί να εκφράσει· μια κονσόλα μπορεί να πρέπει να μείνει έξω για να διατηρήσει τον τύπο NAT της. Κάθε συσκευή αποτυγχάνει και μόνη της, ώστε μια ληγμένη συνδρομή να μην βουβαίνει όλο το σπίτι.

Τα διαπιστευτήρια είναι το πιο κοφτερό επιχείρημα. Ένας δρομολογητής που συνδέεται για λογαριασμό όλων κρατά έναν λογαριασμό, και κάθε άτομο σε εκείνο το δίκτυο κληρονομεί την πρόσβασή του. Αν η πρόθεση είναι έλεγχος ταυτότητας ανά άτομο πριν από την πρόσβαση στο διαδίκτυο, ένα τούνελ δρομολογητή μόνο του δεν το κάνει. Το συνηθισμένο σχέδιο είναι μια αιχμάλωτη πύλη που επικυρώνει τον λογαριασμό και μετά αφήνει τον πελάτη σε ένα ήδη εγκατεστημένο τούνελ, κάτι που είναι περισσότερα κινούμενα μέρη από όσα θέλουν τα περισσότερα σπίτια.

Η υποστήριξη πρωτοκόλλων κρίνει περισσότερες περιπτώσεις από την προτίμηση

Οι δρομολογητές καταναλωτών εκθέτουν μόνο τα πρωτόκολλα που παρέδωσε ο κατασκευαστής. Ένας δρομολογητής με PPTP, L2TP ή απλό IPsec δεν μπορεί να συνδεθεί σε πάροχο που δημοσιεύει αποκλειστικά προφίλ OpenVPN ή WireGuard, και καμία διαμόρφωση δεν το αλλάζει. Οι έντιμες επιλογές είναι ένας πάροχος που μιλάει υποστηριζόμενο πρωτόκολλο, ένας δρομολογητής με OpenWrt ή άλλο firmware με τον πελάτη που χρειάζεστε, ή ένας πελάτης σε κάθε συσκευή.

Η αντίστροφη περίπτωση είναι εξίσου συχνή: ένας δρομολογητής με δυνατότητα OpenVPN δεν μπορεί να χρησιμοποιήσει πάροχο του οποίου η υπηρεσία εξαρτάται από ιδιόκτητο πελάτη και τα δικά του κόλπα δρομολόγησης. Διαβάστε τη σελίδα του παρόχου για τα υποστηριζόμενα πρωτόκολλα πριν αγοράσετε υλικό και ελέγξτε την έκδοση firmware, γιατί το «υποστηρίζει WireGuard» σε μια σελίδα προϊόντος συχνά σημαίνει μία συγκεκριμένη γενιά firmware.

Ένας δρομολογητής ταξιδιού με πελάτη WireGuard είναι η φθηνή εκδοχή του μοντέλου δρομολογητή και μια λογική απάντηση για λίγες συσκευές που δεν μπορούν να εκτελέσουν πελάτη. Παραμένει τούνελ δρομολογητή, οπότε όλα τα παραπάνω για δίκτυα επισκεπτών, IPv6 και κοινή αποτυχία ισχύουν αμετάβλητα.

Η τρίτη επιλογή: ένα μηχάνημα ως πύλη

Ο διαμοιρασμός πελάτη από φορητό είναι δυνατός, και αυτό εννοούν συνήθως οι άνθρωποι όταν λένε ότι μετέτρεψαν τον φορητό σε δρομολογητή.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Λειτουργεί μέχρι το μηχάνημα να κοιμηθεί, ο πελάτης να επανασυνδεθεί σε άλλο προφίλ ή το δικό του τείχος προστασίας να ρίξει τα προωθημένα πακέτα. Τότε ό,τι βρίσκεται πίσω του χάνει τη σύνδεση μεμιάς, και η αποτυχία μοιάζει με νεκρό δίκτυο παρά με πρόβλημα VPN.

Για εργαστήριο ή προσωρινή εγκατάσταση είναι εντάξει. Ως μόνιμη ρύθμιση κάνει έναν φορητό το μοναδικό σημείο αστοχίας ενός νοικοκυριού, και συνήθως καταλήγει με κάποιον να αναρωτιέται γιατί η τηλεόραση σταμάτησε να δουλεύει όταν έκλεισε ένα καπάκι.

Εισερχόμενες θύρες, DNS και η κοινή αποτυχία

Οι εισερχόμενες υπηρεσίες μετακινούνται με το τούνελ. Ένα VPN σε δρομολογητή συνήθως σπάει την προώθηση θυρών για διακομιστή του LAN, και ένα δυναμικό όνομα DNS πρέπει να δείχνει στην έξοδο του VPN αντί στη διεύθυνση του ISP αν η υπηρεσία πρέπει να είναι προσβάσιμη μέσω του τούνελ. Ορισμένοι πάροχοι δεν προσφέρουν καθόλου δρομολογήσιμη εισερχόμενη διεύθυνση, κάτι που τερματίζει σιωπηλά κάθε σχέδιο που βασιζόταν σε μία.

Το DNS ακολουθεί τον δρομολογητή όταν ο δρομολογητής κατέχει το τούνελ, κάτι βολικό μέχρι μια συσκευή να χρειαστεί άλλον resolver. Ένας πελάτης ανά συσκευή μπορεί να το εκφράσει· μια πολιτική δρομολογητή δεν μπορεί χωρίς να χωρίσει το δίκτυο στα δύο. Η αποτυχία μοιράζεται επίσης, γιατί μια κατάρρευση, μια ληγμένη συνδρομή ή μια κακή προωθημένη διαδρομή αποσυνδέει κάθε συσκευή την ίδια στιγμή.

Επιλέξτε το μοντέλο δρομολογητή όταν οι συσκευές δεν μπορούν να εκτελέσουν πελάτες και μία μόνο έξοδος είναι αποδεκτή. Επιλέξτε πελάτες ανά συσκευή όταν οι πολιτικές διαφέρουν, όταν ο πάροχος χρειάζεται πρωτόκολλο που λείπει από τον δρομολογητή ή όταν ο λογαριασμός δεν πρέπει να μοιράζεται. Αν ένα μηχάνημα είναι η πύλη, γράψτε ποια διεπαφή μοιράζεται ποιο δίκτυο και δοκιμάστε την περίπτωση «τούνελ κάτω», γιατί σε αυτή την κατάσταση τα περισσότερα από αυτά τα σχέδια αποδεικνύονται λάθος.