Λειτουργία πελάτη VPN σε δρομολογητή ή λειτουργία διακομιστή: τι επιτρέπει η καθεμία

Συνδέεστε στον δρομολογητή, ανοίγετε τη σελίδα VPN και βρίσκετε δύο καρτέλες που μοιάζουν με την ίδια λειτουργία περιγραφόμενη δύο φορές: η μία θέλει ένα αρχείο προφίλ από αλλού, η άλλη θέλει να δημιουργήσετε πιστοποιητικά και να επιλέξετε θύρα. Δεν είναι δύο όψεις μιας ρύθμισης. Ο ένας ρόλος κάνει τον δρομολογητή να καλέσει προς τα έξω, ο άλλος τον κάνει να απαντήσει, και μία συσκευή μπορεί να κάνει και τα δύο, χωρίς το ένα να βοηθά το άλλο. Δείτε πώς να διαβάσετε το μενού και να αποφασίσετε σε ποια πλευρά βρίσκεστε πριν ενεργοποιήσετε οτιδήποτε.

Ανοίξτε το μενού VPN και διαβάστε τα ονόματα των ρόλων

Ξεκινήστε από τις επικεφαλίδες των ενοτήτων και όχι από τους διακόπτες. Μια καρτέλα με ένδειξη πελάτης ή «σύνδεση σε υπηρεσία VPN» περιμένει ένα εισαγόμενο προφίλ, ένα αρχείο ρυθμίσεων ή ένα σύνολο διαπιστευτηρίων που εξέδωσε κάποιος άλλος. Μια καρτέλα με ένδειξη διακομιστής περιμένει να δημιουργήσετε τις ταυτότητες, να επιλέξετε πρωτόκολλο και θύρα και συνήθως να εξαγάγετε ένα προφίλ για κάθε συσκευή που θα συνδεθεί.

Θεωρήστε τη διαφημιστική φράση στο κουτί ως μη επαληθευμένη μέχρι το μενού να της αντιστοιχεί. Το «υποστηρίζεται VPN» μπορεί να σημαίνει πελάτη, διακομιστή, βοηθό διέλευσης πρωτοκόλλου που προωθεί μόνο πακέτα σε συσκευή πίσω από τον δρομολογητή, ή ιδιόκτητη εφαρμογή απομακρυσμένης πρόσβασης χωρίς κανένα τυπικό προφίλ. Μόνο η τεκμηρίωση του υλικολογισμικού διακρίνει αυτές τις περιπτώσεις, και ο αριθμός μοντέλου στο αυτοκόλλητο δεν το κάνει.

Λειτουργία πελάτη: το LAN σας βγαίνει από την έξοδο κάποιου άλλου

Στη λειτουργία πελάτη ο δρομολογητής συμπεριφέρεται σαν φορητός υπολογιστής που εκτελεί εφαρμογή VPN. Χρειάζεται συμβατό πρωτόκολλο, προφίλ ή διαπιστευτήρια από τον απομακρυσμένο πάροχο και απόφαση δρομολόγησης για το ποιες συσκευές προς τα κάτω χρησιμοποιούν τη σήραγγα. Πολλά υλικολογισμικά προσφέρουν λίστα πολιτικής όπου ονομάζετε τις διευθύνσεις πηγής ή τις διεπαφές που πρέπει να στέλνονται μέσω της σήραγγας και αφήνετε τις υπόλοιπες στην κανονική σύνδεση.

Το μέρος που αποτυγχάνει σιωπηλά είναι η απομακρυσμένη πλευρά. Το τελικό σημείο στο οποίο συνδέεστε πρέπει να προωθεί την κίνηση του διαδικτύου για εσάς και να παρέχει διαδρομή επιστροφής, και αυτό είναι πολιτική του παρόχου, όχι ρύθμιση του δρομολογητή σας. Ένα μενού που προσφέρει μόνο λειτουργία διακομιστή δεν μπορεί να χτίσει αυτή την εξωτερική υπηρεσία ό,τι ρυθμίσεις κι αν γίνουν, και ένας πάροχος που υποστηρίζει μόνο συνδέσεις τοποθεσίας-σε-τοποθεσία μπορεί να συνδέσει τη σήραγγα με επιτυχία αλλά να απορρίπτει ό,τι στέλνετε μέσα από αυτήν.

Στη συνέχεια ελέγξτε πώς η σήραγγα χειρίζεται το DNS. Αν το προφίλ προωθεί έναν επιλυτή, ο δρομολογητής πρέπει να δίνει αυτόν τον επιλυτή στους πελάτες προς τα κάτω· αν όχι, οι πελάτες συνεχίζουν να χρησιμοποιούν τον επιλυτή του παρόχου και επιλύουν ονόματα εκτός της σήραγγας παρόλο που τα πακέτα περνούν μέσα. Γρήγορος έλεγχος από συνδεδεμένο φορητό: η διεύθυνση που βλέπετε σε σελίδα ηχούς IP πρέπει να είναι η έξοδος, και η διεύθυνση του επιλυτή που χρησιμοποιείται πρέπει να είναι αυτή που έδωσε η σήραγγα.

Λειτουργία διακομιστή: κάποιος άλλος φτάνει στο LAN σας

Η λειτουργία διακομιστή αντιστρέφει την κατεύθυνση. Ο δρομολογητής ακούει, η ταξιδιωτική συσκευή συνδέεται και μετά ο δρομολογητής αποφασίζει ποιους πόρους του σπιτιού μπορεί να φτάσει αυτή η σύνδεση. Αυτός είναι ο ρόλος που θέλετε για ένα NAS, ένα μηχάνημα εργαστηρίου ή έναν εκτυπωτή, και έχει μια προϋπόθεση που ο ρόλος πελάτη δεν έχει: κάτι απ’ έξω πρέπει να μπορεί να φτάσει τον ακροατή.

Σε αυτή την προϋπόθεση κολλούν οι περισσότερες οικιακές εγκαταστάσεις. Αν ο δρομολογητής βρίσκεται πίσω από την πύλη του ίδιου του παρόχου, η θύρα VPN πρέπει να προωθηθεί από αυτή την πύλη, ή ο δρομολογητής πρέπει να τεθεί σε λειτουργία γέφυρας ή DMZ. Πίσω από NAT φορέα δεν υπάρχει καθόλου εισερχόμενη θύρα για προώθηση, οπότε ο σχεδιασμός πρέπει να αλλάξει: σήραγγα προς τα έξω από τον δρομολογητή σε αναμεταδότη, σε φιλοξενούμενο τελικό σημείο ή σε προϊόν πλέγματος. Ένας διακομιστής που δεν μπορεί να προσεγγιστεί δεν είναι λανθασμένα ρυθμισμένος, είναι απρόσιτος.

Οι ταυτότητες διαφέρουν επίσης ανάλογα με τον ρόλο. Ένα προφίλ πελάτη οικιακής χρήσης που στέλνει τα πάντα σε πληρωμένη έξοδο είναι ένα κοινό μυστικό, ενώ ένας διακομιστής που δέχεται τρία τηλέφωνα και έναν φορητό χρειάζεται τέσσερις ταυτότητες που μπορείτε να ανακαλέσετε ξεχωριστά. Τα πιστοποιητικά και τα κλειδιά είναι ανά συσκευή, και η σελίδα εξαγωγής του δρομολογητή πρέπει να σας δίνει ένα αρχείο ανά συσκευή και όχι ένα αρχείο για όλο το σπίτι.

Ελέγξτε την ακριβή υλοποίηση πριν δεσμευτείτε

Η τεκμηρίωση της Netgate για την επιλογή ρόλου VPN διαχωρίζει τους ρόλους με αυτόν τον τρόπο, και αξίζει να διαβάσετε την αντίστοιχη σελίδα για το υλικολογισμικό σας αντί να το συμπεράνετε από τα ονόματα των καρτελών. Αναζητήστε τρία συγκεκριμένα στοιχεία: ποια πρωτόκολλα μπορεί να μιλήσει ο πελάτης, αν ο διακομιστής υποστηρίζει το πρωτόκολλο που χρησιμοποιούν οι συσκευές σας, και αν η πολιτική δρομολόγησης καλύπτει διευθύνσεις πηγής, ολόκληρες διεπαφές ή τίποτα απολύτως.

Έπειτα κοιτάξτε το όριο υποστήριξης. Ένας δρομολογητής καταναλωτή με καρτέλα πελάτη αλλά χωρίς λίστα πολιτικής θα στέλνει κάθε συσκευή μέσα από τη σήραγγα, κάτι που είναι εντάξει για μια συσκευή ροής και λάθος για έναν φορητό εργασίας που χρειάζεται τη σήραγγα του γραφείου. Ένας δρομολογητής με καρτέλα διακομιστή αλλά ένα μόνο κοινό προφίλ είναι λογικό εργαλείο εργαστηρίου και κακή επιλογή για μια οικογένεια, γιατί η ανάκληση μιας συσκευής σημαίνει αλλαγή των ρυθμίσεων όλων.

Επιλέξτε τον ρόλο με βάση το πού ξεκινά η κίνηση

Διαβείτε την επιλεγμένη γραμμή από άκρη σε άκρη πριν αλλάξετε οτιδήποτε άλλο. Ενεργοποιήστε τον ρόλο, συνδέστε έναν πελάτη, επιβεβαιώστε τη διεύθυνση με την οποία εμφανίζεται, επιβεβαιώστε ποιον επιλυτή χρησιμοποιεί και επιβεβαιώστε τη διαδρομή επιστροφής προς την αντίθετη κατεύθυνση. Αν ο δρομολογητής έχει και σελίδα τείχους προστασίας, ελέγξτε ότι η νέα διεπαφή δεν μπλοκάρεται από προεπιλεγμένο κανόνα που γράφτηκε όταν η σήραγγα δεν υπήρχε.

Όταν και οι δύο ρόλοι είναι διαθέσιμοι και η απαίτηση είναι πραγματικά και οι δύο, λειτουργήστε τους ως ξεχωριστές λειτουργίες με ξεχωριστή τεκμηρίωση. Ένας δρομολογητής μπορεί να καλεί προς τα έξω για την τηλεόραση και ταυτόχρονα να δέχεται σύνδεση τηλεφώνου προς το NAS, αλλά οι δύο πολιτικές δεν πρέπει να μοιράζονται υποδίκτυο, ρύθμιση DNS ή ζώνη τείχους προστασίας, αλλιώς η πρώτη αλλαγή που θα κάνετε για τη μία θα σπάσει την άλλη.