Kontrolu la klientan rolon de la enkursigilo antaŭ ol importi VPN-profilon

Specifika paĝo kun VPN-emblembro diras, ke la skatolo povas fari ion per VPN. Ĝi ne diras, ke la firmvaro povas agi kiel kliento por la protokolo en la dosiero, kiun vi tenas. Tiuj estas malsamaj kapabloj kun malsamaj postuloj, kaj la breĉo inter ili estas kie plej multaj el ĉi tiuj aĉetoj misfunkcias. Kontrolu la rolon antaŭ la marko.

Kvar kontroloj igas funkciparon respondo.

VPN-emblembro ne estas deklaro pri kapablo

Enkursigiloj reklamas VPN-subtenon laŭ almenaŭ tri sencoj: trarigardado por trafiko de aliaj aparatoj, servilo, kiu akceptas envenantajn tunelojn, kaj kliento, kiu komencas elirantan tunelon. Nur la tria konsumas la profilon, kiun vi elŝutis. Trarigardado de IPsec precipe estas NAT-helpanto, ne finpunkto, kaj ĝi aperas sur aparatoj, kiuj tute ne povas fini aŭ komenci IPsec.

Demandu, kiun rolon la dosiero bezonas, poste demandu, ĉu tiu rolo ekzistas en la firmvara versio sur la aparato.

Legu la funkciparon por la firmvaro, kiun vi efektive uzas

Modelnomoj ne estas firmvaraj versioj, kaj gvidilo verkita por la antaŭa ĉefa eldono priskribas alian funkciparon. En OpenWrt la demando estas respondebla el ŝelo: opkg list-installed | grep -E "openvpn|wireguard" montras, ĉu la klientaj pakaĵoj ĉeestas, kaj la kernmodulo WireGuard estas aparta de la uzantspacaj iloj. En aparato de vendanto, legu la eldonnotojn por la instalita konstruo anstataŭ la merkatikan paĝon de la modelo.

Se la kapablo venas kiel pakaĵo, konfirmu, ke ĝi estas instalita, ne nur disponebla en la deponejo.

Kongruigu la profilan formaton al la importantilo

OpenVPN-profilo estas lingvo de direktivoj. WireGuard-para dosiero estas INI kun privata ŝlosilo kaj listo de permesitaj IP-adresoj. IKEv2-legitimaĵoj estas atestilo aŭ uzantnomo plus servila identeco. Enkursigila formularo, kiu akceptas unu el tiuj, ne tradukos la aliajn, kaj importbutono asertanta akcepti ion ajn meritas suspekton.

Malfermu la dosieron kaj legu la unuajn dek liniojn. Tio diras al vi, kiun importantilon vi bezonas antaŭ ol iu ajn menuo.

Kontrolu la opciojn, kiujn la profilo vere uzas

Subteno por la protokolo ne estas subteno por via profilo. Rigardu la direktivojn portantajn la sekurecajn ecojn: enliniaj atestiloj, tls-crypt aŭ tls-auth, elektoj de ĉifro kaj datuma ĉifro, kunpremado kaj skriptaj hokoj. Enkursigila efektivigo povas akcepti la dosieron kaj silente ignori direktivon, kiun ĝi ne efektivigas, kio donas tunelon, kiu konektiĝas kaj kondutas alie ol tiu sur via tekkomputilo.

La danĝera rezulto ne estas rifuzita importo. Ĝi estas akceptita importo, kiu silente perdis ion.

Testu la politikon, ne nur la manpremon

Decidu, kion la konekto devas porti: unu segmenton aŭ ĉiun aparaton, kiun DNS-serĉilon, ĉu IPv6 eniras la tunelon aŭ restas loka, kaj kio okazas, kiam la tunelo falas. Tiuj estas apartaj ecoj de establo, kaj ĝuste tie enkursigilo plej multe diferencas de labortabla kliento. Tenu lokan administradon atingebla dum testado, alie la unua enkursiga eraro kostas al vi fizikan aliron.

Kompletigita manpremo estas la komenco de kontrolado. Sendu realan trafikon al reala celo kaj kontrolu la revenan vojon.