VPN-kliento sur la enkursigilo kontraŭ servila reĝimo: kion ĉiu ebligas

Vi ensalutas la enkursigilon, malfermas la VPN-paĝon kaj trovas du langetojn, kiuj aspektas kiel la sama funkcio priskribita dufoje: unu volas profilan dosieron de aliloke, la alia volas, ke vi generu atestilojn kaj elektu pordon. Ili ne estas du vidpunktoj de unu agordo. Unu rolo igas la enkursigilon alsendi eksteren, la alia igas ĝin respondi, kaj unu aparato povas fari ambaŭ, sen ke unu helpu la alian. Jen kiel legi la menuon kaj decidi, sur kiu flanko vi estas, antaŭ ol ŝalti ion ajn.

Malfermu la VPN-menuon kaj legu la nomojn de la roloj

Komencu per la sekciaj titoloj, ne per la ŝaltiloj. Langeto markita kiel kliento aŭ “konektiĝi al VPN-servo” atendas importitan profilon, agordan dosieron aŭ aron da akreditaĵoj eldonitaj de iu alia. Langeto markita kiel servilo atendas, ke vi kreu la identecojn, elektu protokolon kaj pordon kaj kutime eksportu profilon por ĉiu aparato, kiu konektiĝos.

Traktu la merkatan frazon sur la skatolo kiel nekonfirmitan, ĝis la menuo kongruas kun ĝi. “VPN-subteno” povas signifi klienton, servilon, protokolan trapasigan helpilon, kiu nur plusendas pakaĵojn al aparato malantaŭ la enkursigilo, aŭ firmaan forkontaktan aplikaĵon tute sen norma profilo. Nur la firmvara dokumentaro distingas tiujn kazojn, kaj la modelnumero sur la glumarko ne.

Klienta reĝimo: via loka reto eliras per la elirejo de iu alia

En klienta reĝimo la enkursigilo kondutas kiel tekkomputilo rulanta VPN-aplikaĵon. Ĝi bezonas kongruan protokolon, profilon aŭ akreditaĵojn de la fora funkciigisto kaj enkursigan decidon pri tio, kiuj malsupraj aparatoj uzas la tunelon. Multaj firmvaroj proponas regulan liston, kie vi nomas la fontadresojn aŭ interfacojn, kiuj iru tra la tunelo, kaj lasas la ceterajn sur la normala konekto.

La parto, kiu malsukcesas silente, estas la fora flanko. La finpunkto, al kiu vi konektiĝas, devas plusendi interretan trafikon por vi kaj provizi revenan vojon, kaj tio estas regulo ĉe la provizanto, ne agordo sur via enkursigilo. Menuo, kiu proponas nur servilan reĝimon, ne povas konstrui ĉi tiun eksteran servon, kiel ajn ĝi agordiĝu, kaj provizanto, kiu subtenas nur ligojn inter lokoj, povas sukcese konekti la tunelon sed forĵeti ĉion, kion vi sendas tra ĝi.

Poste kontrolu, kiel la tunelo traktas DNS. Se la profilo puŝas solvilon, la enkursigilo devus transdoni tiun solvilon al malsupraj klientoj; se ne, la klientoj daŭre uzas la solvilon de la provizanto kaj solvas nomojn ekster la tunelo, kvankam la pakaĵoj iras interne. Rapida kontrolo de konektita tekkomputilo: la adreso, kiun vi vidas sur IP-eĥa paĝo, devus esti la elirejo, kaj la uzata solvila adreso devus esti tiu, kiun la tunelo provizis.

Servila reĝimo: iu alia alvenas en vian lokan reton

Servila reĝimo inversigas la direkton. La enkursigilo aŭskultas, la vojaĝa aparato konektiĝas, kaj poste la enkursigilo decidas, kiujn hejmajn rimedojn tiu konekto rajtas atingi. Tio estas la rolo, kiun vi volas por NAS, laboratoria maŝino aŭ presilo, kaj ĝi havas antaŭkondiĉon, kiun la klienta rolo ne havas: io ekstere devas povi atingi la aŭskultanton.

Ĝuste ĉe tiu antaŭkondiĉo haltas la plej multaj hejmaj instalaĵoj. Se la enkursigilo staras malantaŭ la propra pordego de la provizanto, la VPN-pordo devas esti plusendita de tiu pordego, aŭ la enkursigilo devas esti metita en pontan aŭ DMZ-reĝimon. Malantaŭ NAT de operatora nivelo mankas tute enira pordo por plusendi, do la dezajno devas ŝanĝiĝi: ekstera tunelo de la enkursigilo al relajso, gastigita finpunkto aŭ maŝa produkto. Servilo, kiun oni ne povas atingi, ne estas misagordita, ĝi estas neatingebla.

Identecoj ankaŭ varias laŭ rolo. Hejma klienta profilo, kiu sendas ĉion al pagata elirejo, estas unu komuna sekreto, dum servilo, kiu akceptas tri telefonojn kaj tekkomputilon, bezonas kvar identecojn, kiujn vi povas aparte revoki. Atestiloj kaj ŝlosiloj estas po aparato, kaj la eksporta paĝo de la enkursigilo devus doni al vi unu dosieron po aparato anstataŭ unu dosieron por la tuta hejmo.

Kontrolu la precizan realigon antaŭ ol sindevontigi

La dokumentaro de Netgate pri elektado de VPN-rolo apartigas la rolojn tiamaniere, kaj indas legi la respondan paĝon por via firmvaro anstataŭ konjekti el la langetaj nomoj. Serĉu tri konkretajn faktojn: kiujn protokolojn la kliento povas paroli, ĉu la servilo subtenas la protokolon, kiun uzas viaj aparatoj, kaj ĉu la enkursiga regulo kovras fontadresojn, tutajn interfacojn aŭ tute nenion.

Poste rigardu la subtenan limon. Konsumanta enkursigilo kun klienta langeto sed sen regula listo sendos ĉiun aparaton tra la tunelo, kio taŭgas por elsenda skatolo kaj maltaŭgas por labora tekkomputilo, kiu bezonas la oficejan tunelon. Enkursigilo kun servila langeto sed unu komuna profilo estas racia laboratoria ilo kaj malbona elekto por familio, ĉar revoki unu aparaton signifas ŝanĝi la agordon de ĉiuj.

Elektu la rolon laŭ tio, kie la trafiko komenciĝas

Trapaŝu la elektitan vicon de komenco ĝis fino antaŭ ol ŝanĝi ion alian. Ŝaltu la rolon, konektu unu klienton, konfirmu la adreson, sub kiu ĝi aperas, konfirmu, kiun solvilon ĝi uzas, kaj konfirmu la revenan vojon en la kontraŭa direkto. Se la enkursigilo havas ankaŭ fajroŝirman paĝon, kontrolu, ke la nova interfaco ne estas blokata de apriora regulo skribita, kiam la tunelo ankoraŭ ne ekzistis.

Kiam ambaŭ roloj disponeblas kaj la postulo vere estas ambaŭ, funkciigu ilin kiel apartajn funkciojn kun aparta dokumentaro. Unu enkursigilo povas alsendi eksteren por la televido kaj samtempe akcepti telefonan konekton al la NAS, sed la du reguloj ne rajtas kunhavi subreton, DNS-agordon aŭ fajroŝirman zonon, alie la unua ŝanĝo, kiun vi faros por unu, rompos la alian.