Kontrollige ruuteri kliendirolli enne VPN-profiili importimist
Läbilase, server ja klient on kolm erinevat rolli. Sobitage püsivara, profiili vorming ja selle kasutatavad valikud enne, kui usaldate VPN-logot.
VPN-logoga tehniliste andmete leht ütleb, et seade suudab VPN-iga midagi teha. See ei ütle, et püsivara saab toimida kliendina protokollile failis, mida te käes hoiate. Need on erinevad võimed erinevate nõuetega ja nendevaheline lõhe on koht, kus enamik selliseid oste ebaõnnestub. Kontrollige rolli enne brändi.
Neli kontrolli muudavad funktsioonide loendi vastuseks.
VPN-logo ei ole võimaluste deklaratsioon
Ruuterid reklaamivad VPN-i tuge vähemalt kolmes tähenduses: läbilase teiste seadmete liiklusele, server, mis võtab vastu sissetulevaid tunneleid, ja klient, mis algatab väljamineva tunneli. Ainult kolmas tarbib profiili, mille te alla laadisite. Eelkõige IPsec-i läbilase on NAT-i abiline, mitte lõpp-punkt, ja see ilmub seadmetel, mis ei suuda IPsec-i üldse lõpetada ega algatada.
Küsige, millist rolli fail vajab, ja seejärel küsige, kas see roll on seadme püsivara versioonis olemas.
Lugege funktsioonide loendit selle püsivara jaoks, mida te tegelikult käitate
Mudelinimed ei ole püsivara versioonid ja eelmise suurväljaande jaoks kirjutatud juhend kirjeldab teistsugust funktsioonide kogumit. OpenWrt-s saab küsimusele vastata kestast: opkg list-installed | grep -E "openvpn|wireguard" näitab, kas kliendipaketid on olemas, ja WireGuard-i kerneli moodul on kasutajaruumi tööriistadest eraldi. Tarnija seadmes lugege paigaldatud buildi väljalaskemärkmeid, mitte mudeli turunduslehte.
Kui võime tuleb paketina, kinnitage, et see on paigaldatud, mitte ainult hoidlas saadaval.
Sobitage profiili vorming importijaga
OpenVPN profiil on direktiivide keel. WireGuard-i partnerfail on INI, milles on privaatvõti ja lubatud IP-de loend. IKEv2 mandaadid on sertifikaat või kasutajanimi pluss serveri identiteet. Ruuteri vorm, mis võtab vastu ühe neist, ei tõlgi teisi, ja impordi nupp, mis väidab, et võtab vastu kõike, väärib kahtlust.
Avage fail ja lugege esimest kümmet rida. See ütleb teile, millist importijat vajate, enne kui ükski menüü seda teeb.
Kontrollige valikuid, mida profiil tegelikult kasutab
Protokolli tugi ei ole teie profiili tugi. Vaadake direktiive, mis kannavad turvaomadusi: manustatud sertifikaadid, tls-crypt või tls-auth, šifri ja andmešifri valikud, pakkimine ja skriptikonksud. Ruuteri rakendus võib faili vastu võtta ja vaikselt eirata direktiivi, mida see ei rakenda, mille tulemuseks on tunnel, mis ühendub ja käitub teisiti kui teie sülearvuti oma.
Ohtlik tulemus ei ole tagasi lükatud import. See on vastu võetud import, mis on vaikselt midagi kaotanud.
Testige poliitikat, mitte ainult kätlust
Otsustage, mida ühendus peab kandma: üks segment või iga seade, milline DNS-lahendaja, kas IPv6 läheb tunnelisse või jääb kohalikuks, ja mis juhtub, kui tunnel katkeb. Need on loomisest eraldi funktsioonid ja just seal erineb ruuter kõige rohkem töölaua kliendist. Hoidke kohalik haldus testimise ajal kättesaadav, muidu maksab esimene marsruutimisviga teile füüsilise juurdepääsu.
Lõpetatud kätlus on kontrollimise algus. Saatke tegelikku liiklust tegelikku sihtkohta ja kontrollige tagasiteed.