Ponta reĝimo ne estas VPN-trapaso: kion ĉiu el ili ŝanĝas
Ponta reĝimo ŝanĝas la plusendan rolon de la enkursigilo; trapaso nur lasas la VPN de kliento trapasi ĝin. Neniu el ili kreas tunelon, do ili ne estas interŝanĝeblaj.
Ponta reĝimo kaj VPN-trapaso aperas en la sama fadeno pri problemserĉado, ĉar ambaŭ proponiĝas kiel solvo por VPN, kiu ne konektiĝas. Ili priskribas malsamajn funkciojn de la enkursigilo, kaj neniu el ili sola kreas VPN-tunelon. Pontado ŝanĝas kiel aparato aliĝas al retaj segmentoj aŭ kiu faras la enkursigadon; trapaso decidas ĉu la VPN-trafiko de kliento povas trapasi enirejon. La malĝusta elekto transformas malgrandan problemon en tutan posttagmezon da readresizado.
Du nomoj, du malsamaj funkcioj
La testo estas simpla: ĉu vi provas ŝanĝi la formon de la reto, aŭ lasi trapasi trafikon, kiu jam ekzistas? Temas pri malsamaj petoj kun malsamaj konsekvencoj.
La komparo en unu tabelo:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Nur la lastaj du kreas tunelon sur la enkursigilo. Pontado kaj trapaso ambaŭ lasas la finpunkton aliloke, kaj tial neniu el ili povas ripari problemon kaŭzitan de mankanta kliento aŭ neatingebla servilo. Tiu distingo facile perdiĝas, ĉar la agordoj staras proksime unu al la alia en la sama interfaco. Notu, kiu finpunkto posedas la tunelon antaŭ ol malfermi tiun paĝon.
Ankaŭ markobutono de trapaso ne estas kompleta priskribo de protokola subteno. Moderna IPsec NAT-trapaso uzas normigitan UDP-enkapsuligon, dum pli malnovaj helpaj funkcioj havas konduton specifan al la efektivigo.
Merktada etikedo, kiu diras ke VPN estas subtenata, ne diras, kiun el ĉi tiuj kvar roloj ĝi celas.
Kion ponta reĝimo ŝanĝas sur via aparato
Ĉe modemo aŭ enkursigilo, la pontal opcio kutime translokigas enkursigadon kaj NAT-respondecojn al alia enirejo malsupre. Ĉe programara aparato ĝi povas signifi kunigi elektitajn lokajn interfacojn en unu dissendan domajnon. La preciza amplekso dependas de la produkto, do legu la dokumentaron pri la modelo, ne pri la vorto. Ambaŭ interpretoj ŝanĝas adresan atribuon, fajroŝirmajn limojn kaj kiel vi atingas administradon.
Ĝuste tial pontado estas malbona unua respondo al VPN-misoj. Vi povas perdi la administran vojon dum la origina problemo restas nesolvita.
Konservu sekurkopion de la agordo antaŭ ol ŝanĝi la retan rolon, ĉar la adresado povas moviĝi kun ĝi.
Elektu la rolon antaŭ la agordo
Por sendi hejman trafikon tra ekstera eliro, vi bezonas kongruan enkursigilan VPN-klienton, ne ponton. Por konektiĝi hejmen el alia loko, vi bezonas la servilan rolon kaj suprenan vojon, kiu povas atingi ĝin. Tiuj du postuloj preskaŭ nenion komunan havas krom la vorto VPN. Decidu, kiun vi konstruas, antaŭ ol rigardi menuon.
Aparato povas subteni ambaŭ rolojn kaj tamen ne subteni la rolon, kiun vi bezonas, je la rapideco, kiun vi atendas.
La rolo estas dizajna decido; la agordo estas ĝia sekvo.
Se nur unu protokolo malsukcesas
Kiam unu protokolo malsukcesas malantaŭ alie funkcianta enkursigilo, esploru unue la transporton kaj NAT-vojon de tiu protokolo. Ŝanĝi la tutan enirejan reĝimon por ripari unu klienton egalas al retirado de domo, ĉar lampo rompiĝis. Kontrolu ĉu la trafiko estas UDP-enkapsuligita, ĉu la helpa funkcio de la enkursigilo validas por tiu protokolo, kaj ĉu la misfunkcio estas simetria. Poste decidu, ĉu rola ŝanĝo vere pravigas.
RFC 3948 priskribas la UDP-enkapsuligon, kiu igas IPsec postvivi NAT, kaj ĝi estas la normo kontrolenda antaŭ ol fidi markobutonon de trapaso.
Notu, kion vi ŝanĝis kaj kial, ĉar la sekva persono trovos la aparaton en ponta reĝimo kaj supozos, ke ĝi estis intenca. La ĝusta rezulto estas reto, kies formon vi elektis, ne unu hereditan el problemserĉa seanco.