Telefon VPN-ist väljas? Ruuteri tunnel või klient seadme kohta

Sülearvuti on VPN-iga ühendatud, telefon on samas Wi-Fi-võrgus ja telefon sirvib ikkagi ISP-aadressilt. See ei ole kliendi viga: tunnel elab masinas, mis selle lõpetab, ja miski muu ei päri seda läheduse tõttu. Katvus laieneb ainult siis, kui ruuter ise klienti käitab, või kui masin muudetakse meelega LAN-i lüüsiks. Millist mudelit soovite, otsustavad kolm asja: protokoll, mida teie teenusepakkuja tegelikult räägib, kui erinevalt tuleb seadmeid kohelda ja millist tõrget suudate üheksa õhtul taluda.

Mida ruuteri tunnel tegelikult katab

Kui tunnel lõpeb ruuteril, jagavad kõik seadmed, mis selle kaudu marsruudivad, väljundit. See ongi ahvatlus teleri, konsooli või seadme puhul, mis ei käita kunagi klienti: midagi pole paigaldada, midagi pole värskena hoida ja üks koht teenusepakkuja vahetamiseks.

Katvus on tingimuslik viisil, mis inimesi üllatab. Külalisvõrk või teine SSID oma poliitikaga järgib seda teed, mille poliitika määrab, mitte tunnelit. IPv6-tee võib mööda minna tunnelist, mis veab ainult IPv4-t. Seade, millel on oma VPN-rakendus või oma krüptitud resolver, eirab ruuterit täielikult. Ja ruuteri enda liiklus, uuendused ja DNS kaasa arvatud, järgib selle väljundpoliitikat, mis on teine tee kui LAN-i edastatud liiklus.

Kontroll on mõlemas mudelis sama ja võtab minuti: küsige kahelt seadmelt, millist aadressi maailm näeb, ja vaadake siis ruuteri ühenduste loendist tunnelit. Kui telefon teatab ISP-aadressi, samal ajal kui ruuter näitab loodud tunnelit, ei marsruudita telefoni selle kaudu, ja ükski uuesti ühendamine ei muuda seda.

Kus klient seadme kohta võidab

Kliendid seadme kohta võidavad niipea, kui nõuded lahknevad. Töösülearvutil võib vaja minna ettevõtte tunnelit, millega telefon ei tohi liituda; teenusepakkuja klient võib pakkuda rakendusepõhist poolitatud tunnelit, mida ruuter ei suuda väljendada; konsool võib vajada väljaspool püsimist, et säilitada oma NAT-tüüp. Iga seade ka nurjub iseseisvalt, nii et üks aegunud tellimus ei vaigista tervet maja.

Mandaadid on teravam argument. Ruuter, mis ühendub kõigi nimel, hoiab ühte kontot, ja iga inimene selles võrgus pärib selle juurdepääsu. Kui kavatsus on iga inimese autentimine enne internetiühendust, ei suuda ruuteri tunnel üksi seda. Tavaline lahendus on captive portal, mis valideerib konto ja laseb kliendi siis juba loodud tunnelisse, mis on rohkem liikuvaid osi, kui enamik kodusid soovib.

Protokollitugi otsustab rohkem juhtumeid kui eelistus

Tarbijaruuterid pakuvad ainult neid protokolle, mille tootja kaasa pani. Ruuter, millel on PPTP, L2TP või tavaline IPsec, ei saa ühenduda teenusepakkujaga, kes avaldab ainult OpenVPN või WireGuard profiile, ja ükski seadistus ei muuda seda. Ausad valikud on teenusepakkuja, kes räägib toetatud protokolli, ruuter OpenWrti või muu püsivaraga ja vajaliku kliendiga, või klient igas seadmes.

Vastupidine juhtum on sama tavaline: OpenVPN-i toetav ruuter ei saa kasutada teenusepakkujat, mille teenus sõltub patenteeritud kliendist ja selle enda marsruuditrikkidest. Lugege teenusepakkuja toetatud protokollide lehte enne riistvara ostmist ja kontrollige püsivara versiooni, sest tootelehel olev „toetab WireGuardi“ tähendab sageli ühte konkreetset püsivara põlvkonda.

Reisiruuter WireGuard-kliendiga on ruuterimudeli odav versioon ja mõistlik vastus rusikale seadmetele, mis ei suuda klienti käitada. See on ikka ruuteri tunnel, nii et kõik ülal öeldu külalisvõrkude, IPv6 ja jagatud tõrke kohta kehtib muutmata kujul.

Kolmas võimalus: masin lüüsina

Kliendi jagamine sülearvutist on võimalik, ja seda inimesed tavaliselt mõtlevadki, kui räägivad sülearvuti ruuteriks muutmisest.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

See töötab seni, kuni masin magab, klient ühendub uuesti teise profiiliga või masina enda tulemüür viskab edastatud paketid ära. Siis kaotab kõik selle taga ühenduse korraga, ja tõrge näeb välja nagu surnud võrk, mitte VPN-i probleem.

Labori või ajutise lahenduse jaoks on see korras. Püsiva korraldusena teeb see ühest sülearvutist majapidamise ainsa tõrkepunkti, ja see lõpeb tavaliselt sellega, et keegi imestab, miks teler lakkas töötamast, kui kaas sulgus.

Sisenevad pordid, DNS ja jagatud tõrge

Sisenevad teenused liiguvad tunneliga. Ruuteri VPN rikub tavaliselt LAN-serveri pordiedastuse, ja dünaamiline DNS-nimi peab osutama VPN-i väljundile, mitte ISP-aadressile, kui teenus peab olema tunnelist kättesaadav. Mõned teenusepakkujad ei paku üldse marsruuditavat sisenevat aadressi, mis lõpetab vaikselt iga plaani, mis sellele tugines.

DNS järgib ruuterit, kui ruuter omab tunnelit, mis on mugav seni, kuni ühel seadmel on vaja teist resolverit. Klient seadme kohta suudab seda väljendada; ruuteri poliitika ei suuda ilma võrgu poolitamiseta. Ka tõrge on jagatud, sest üks krahh, üks aegunud tellimus või üks halb lükatud marsruut katkestab iga seadme samal hetkel.

Valige ruuterimudel, kui seadmed ei suuda kliente käitada ja üks väljund on vastuvõetav. Valige kliendid seadme kohta, kui poliitikad erinevad, kui teenusepakkujal on vaja protokolli, mida ruuteril pole, või kui kontot ei tohi jagada. Kui masin on lüüs, kirjutage üles, milline liides jagab millist võrku, ja testige juhtumit „tunnel maas“, sest see on seisund, milles enamik neist kavadest osutub valeks.