Telefono ekster la VPN? Rutila tunelo aŭ kliento po aparato

La tekokomputilo estas konektita al la VPN, la telefono estas en la sama Wi-Fi, kaj la telefono ankoraŭ retumas el la ISP-adreso. Tio ne estas klienta cimo: tunelo vivas sur la maŝino, kiu finas ĝin, kaj nenio alia heredas ĝin pro proksimeco. La kovrado disvastiĝas nur kiam la rutero mem rulas la klienton, aŭ kiam maŝino estas intence igita pordego por la LAN. Kiun modelon vi volas decidas tri aferoj: la protokolo, kiun via provizanto efektive parolas, kiom malsame la aparatoj devas esti traktataj, kaj kiun paneon vi povas elteni je la naŭa vespere.

Kion rutila tunelo efektive kovras

Kiam la tunelo finiĝas ĉe la rutero, ĉiu aparato, kiu enkursigas tra ĝi, dividas la eliron. Tio estas la allogaĵo por televidilo, konzolo aŭ aparato, kiu neniam rulos klienton: nenio por instali, nenio por teni ĝisdatigita, kaj unu loko por ŝanĝi provizanton.

La kovrado estas kondiĉa laŭ manieroj, kiuj surprizas homojn. Gasta reto aŭ dua SSID kun propra politiko sekvas la vojon, kiun tiu politiko difinas, ne la tunelon. IPv6-vojo povas ĉirkaŭiri tunelon, kiu portas nur IPv4. Aparato, kiu rulas propran VPN-aplikaĵon aŭ propran ĉifritan solvilon, tute ignoras la ruteron. Kaj la propra trafiko de la rutero, ĝisdatigoj kaj DNS inkluzive, sekvas ĝian eligan politikon, kiu estas alia vojo ol la plusendita trafiko de la LAN.

La kontrolo estas la sama en ambaŭ modeloj kaj daŭras minuton: demandu du aparatojn, kiun adreson la mondo vidas, poste rigardu en la konekta listo de la rutero por la tunelo. Se la telefono raportas la ISP-adreson dum la rutero montras establitan tunelon, la telefono ne estas enkursigata tra ĝi, kaj neniu rekonekto tion ŝanĝos.

Kie kliento po aparato venkas

Klientoj po aparato venkas tuj kiam la postuloj disiĝas. Labora tekokomputilo eble bezonas firmaan tunelon, al kiu la telefono ne rajtas aliĝi; provizanta kliento eble ofertas dividitan tuneladon po aplikaĵo, kion rutero ne povas esprimi; konzolo eble devas resti ekstere por konservi sian NAT-tipon. Ĉiu aparato ankaŭ paneas per si mem, do unu eksvalidiĝinta abono ne silentigas la tutan domon.

La akreditaĵoj estas la pli akra argumento. Rutero, kiu konektiĝas nome de ĉiuj, tenas unu konton, kaj ĉiu persono en tiu reto heredas ĝian aliron. Se la intenco estas aŭtentikigo po persono antaŭ interreta aliro, rutila tunelo sola tion ne povas. La kutima dizajno estas kapta portalo, kiu validigas la konton kaj poste ellasas la klienton en jam establitan tunelon, kio estas pli da movaj partoj ol plej multaj hejmoj volas.

Protokola subteno decidas pli da kazoj ol prefero

Ruteroj por konsumantoj elmontras nur la protokolojn, kiujn la fabrikanto liveris. Rutero, kiu ofertas PPTP, L2TP aŭ simplan IPsec, ne povas konektiĝi al provizanto, kiu publikigas nur OpenVPN aŭ WireGuard-profilojn, kaj neniu agordo tion ŝanĝas. La honestaj ebloj estas provizanto, kiu parolas subtenatan protokolon, rutero kun OpenWrt aŭ alia firmvaro kun la kliento, kiun vi bezonas, aŭ kliento sur ĉiu aparato.

La inversa kazo estas same ofta: OpenVPN-kapabla rutero ne povas uzi provizanton, kies servo dependas de propra kliento kaj ĝiaj propraj enkursigaj trukoj. Legu la paĝon de la provizanto pri subtenataj protokoloj antaŭ ol aĉeti hardvaron, kaj kontrolu la firmvaran version, ĉar 'subtenas WireGuard' sur produkta paĝo ofte signifas unu specifan firmvaran generacion.

Vojaĝa rutero kun WireGuard-kliento estas la malmultekosta versio de la rutera modelo kaj racia respondo por manpleno da aparatoj, kiuj ne povas ruli klienton. Ĝi ankoraŭ estas rutila tunelo, do ĉio supre pri gastaj retoj, IPv6 kaj dividita paneo validas senŝanĝe.

La tria eblo: maŝino kiel pordego

Dividi klienton el tekokomputilo eblas, kaj tion homoj kutime celas per tio, ke ili igas la tekokomputilon rutero.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Ĝi funkcias ĝis la maŝino dormas, la kliento rekonektiĝas en alian profilon, aŭ la propra fajroŝirmilo de la maŝino faligas plusenditajn pakaĵojn. Tiam ĉio malantaŭ ĝi perdas la konekton samtempe, kaj la paneo aspektas kiel morta reto anstataŭ VPN-problemo.

Por laboratorio aŭ provizora aranĝo ĝi taŭgas. Kiel permanenta aranĝo ĝi faras unu tekokomputilon la sola panea punkto de domanaro, kaj ĝi kutime finiĝas per tio, ke iu demandas sin, kial la televidilo ĉesis funkcii, kiam kovrilo fermiĝis.

Envenantaj pordoj, DNS kaj la dividita paneo

Envenantaj servoj moviĝas kun la tunelo. Rutera VPN kutime rompas pordan plusendadon por LAN-servilo, kaj dinamika DNS-nomo devas montri al la VPN-eliro anstataŭ al la ISP-adreso, se la servo devas esti atingebla tra la tunelo. Iuj provizantoj tute ne ofertas enkursigeblan envenantan adreson, kio silente finas ĉiun planon, kiu dependis de ĝi.

DNS sekvas la ruteron, kiam la rutero posedas la tunelon, kio estas oportuna ĝis unu aparato bezonas alian solvilon. Kliento po aparato povas esprimi tion; rutera politiko ne povas sen fendi la reton en du. La paneo ankaŭ estas dividita, ĉar unu kraŝo, unu eksvalidiĝinta abono aŭ unu malbona puŝita vojo malkonektas ĉiun aparaton en la sama momento.

Elektu la ruteran modelon, kiam la aparatoj ne povas ruli klientojn kaj unu eliro estas akceptebla. Elektu klientojn po aparato, kiam la politikoj diferencas, kiam la provizanto bezonas protokolon, kiun la rutero mankas, aŭ kiam la konto ne rajtas esti dividita. Se maŝino estas la pordego, notu, kiu interfaco dividas kiun reton, kaj testu la kazon 'tunelo malsupre', ĉar tio estas la stato, en kiu plej multaj el ĉi tiuj dizajnoj montriĝas malĝustaj.