VPN-klient ruuteril versus serverirežiim: mida kumb võimaldab
Üks ruuteri roll saadab sinu liikluse kaugesse väljundisse, teine laseb sind tagasi sisse. Loe menüüsid, mandaate ja tagasiteed enne, kui kummagi lubad.
Logid ruuterisse sisse, avad VPN-i lehe ja leiad kaks vahekaarti, mis näivad olevat sama funktsioon kaks korda kirjeldatud: üks tahab profiilifaili mujalt, teine tahab, et sa genereeriksid sertifikaadid ja valiksid pordi. Need ei ole ühe seade kaks vaadet. Üks roll paneb ruuteri välja helistama, teine paneb selle vastama, ja üks seade suudab mõlemat, ilma et kumbki teist aitaks. Siin on, kuidas menüüd lugeda ja otsustada, kummal poolel sa oled, enne kui midagi lubad.
Ava VPN-i menüü ja loe rollide nimesid
Alusta jaotiste pealkirjadest, mitte lülititest. Vahekaart sildiga klient või „ühendu VPN-teenusega“ ootab imporditud profiili, konfiguratsioonifaili või kellegi teise väljastatud mandaatide kogumit. Vahekaart sildiga server ootab, et sa looksid identiteedid, valiksid protokolli ja pordi ning ekspordiksid tavaliselt profiili iga ühenduva seadme jaoks.
Kohtle karbil olevat turunduslauset kinnitamata, kuni menüü sellele vastab. „VPN-i tugi“ võib tähendada klienti, serverit, protokolli läbilaskeabilist, mis edastab pakette ainult ruuteri taga olevale seadmele, või patentse kaugjuurdepääsu rakendust ilma ühegi standardse profiilita. Neid juhtumeid eristab ainult püsivara dokumentatsioon, mitte kleebisel olev mudelinumber.
Kliendirežiim: sinu kohtvõrk väljub kellegi teise väljundi kaudu
Kliendirežiimis käitub ruuter nagu VPN-i rakendust käitav sülearvuti. See vajab ühilduvat protokolli, profiili või mandaate kaugoperaatorilt ning marsruudimisotsust, millised allavoolu seadmed tunnelit kasutavad. Paljud püsivarad pakuvad reeglite loendit, kus nimetad lähteaadressid või liidesed, mis tuleb tunnelisse saata, ja jätad ülejäänud tavalisele ühendusele.
Osa, mis vaikselt ebaõnnestub, on kaugpool. Lõpp-punkt, millega ühendud, peab sinu eest internetiliiklust edasi suunama ja tagama tagasitee, ja see on teenusepakkuja reegel, mitte sinu ruuteri seade. Menüü, mis pakub ainult serverirežiimi, ei suuda seda väljapoole suunatud teenust üles ehitada, ükskõik kuidas seda seadistada, ja ainult saidi-saiti ühendusi toetav pakkuja võib tunneli edukalt ühendada, kuid visata kõrvale kõik, mida sellest läbi saadad.
Järgmisena kontrolli, kuidas tunnel DNS-iga ümber käib. Kui profiil surub peale nimeresolveri, peaks ruuter selle resolveri allavoolu klientidele edastama; kui ei, jätkavad kliendid teenusepakkuja resolveri kasutamist ja lahendavad nimesid väljaspool tunnelit, kuigi paketid liiguvad sees. Kiire kontroll ühendatud sülearvutist: aadress, mida näed IP-kaja lehel, peaks olema väljund, ja kasutatav resolveri aadress peaks olema see, mille tunnel andis.
Serverirežiim: keegi teine saabub sinu kohtvõrku
Serverirežiim pöörab suuna ümber. Ruuter kuulab, rändseade ühendub ja seejärel otsustab ruuter, millistele koduressurssidele see ühendus pääseb. See on roll, mida soovid NAS-i, laborimasina või printeri jaoks, ja sellel on eeltingimus, mida kliendirežiimil pole: miski väljastpoolt peab kuulajat jõudma.
Just selle eeltingimuse juures takerduvad enamik koduseadistusi. Kui ruuter asub teenusepakkuja enda lüüsi taga, tuleb VPN-i port selle lüüsi kaudu edasi suunata või ruuter panna sillarežiimi või DMZ-i. Operaatori tasandi NAT-i taga ei ole üldse ühtegi sissetulevat porti, mida edasi suunata, seega tuleb disaini muuta: väljuv tunnel ruuterist releesse, majutatud lõpp-punkti või võrgutootesse. Server, millele ei pääse ligi, ei ole valesti seadistatud, see on kättesaamatu.
Identiteedid erinevad samuti rolli järgi. Kodune kliendiprofiil, mis saadab kõik tasulisse väljundisse, on üks jagatud saladus, samas kui server, mis lubab sisse kolm telefoni ja sülearvuti, vajab nelja identiteeti, mida saad eraldi tühistada. Sertifikaadid ja võtmed on seadme kaupa ning ruuteri ekspordileht peaks andma ühe faili seadme kohta, mitte ühe faili kogu majapidamise jaoks.
Kontrolli täpset teostust enne, kui kohustud
Netgate’i dokumentatsioon VPN-i rolli valimise kohta eristab rolle sel viisil ja tasub lugeda oma püsivara vastavat lehte, selle asemel et vahekaartide nimedest järeldada. Otsi kolme konkreetset fakti: millistes protokollides klient rääkida oskab, kas server toetab protokolli, mida sinu seadmed kasutavad, ja kas marsruudireegel hõlmab lähteaadresse, terveid liideseid või üldse mitte midagi.
Seejärel vaata tugipiiri. Tarbijaruuter, millel on kliendi vahekaart, kuid puudub reeglite loend, saadab iga seadme läbi tunneli, mis on voogedastuskarbile sobiv ja töösülearvutile vale, kui see vajab kontori tunnelit. Ruuter, millel on serveri vahekaart, kuid üks jagatud profiil, on mõistlik laborivahend ja perele halb valik, sest ühe seadme tühistamine tähendab kõigi konfiguratsiooni muutmist.
Vali roll selle järgi, kust liiklus algab
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Käi valitud rida algusest lõpuni läbi enne, kui midagi muud muudad. Luba roll, ühenda üks klient, kinnita aadress, millega see ilmub, kinnita, millist resolverit see kasutab, ja kinnita tagasitee vastassuunas. Kui ruuteril on ka tulemüüri leht, kontrolli, et uut liidest ei blokeeriks vaikereegel, mis kirjutati siis, kui tunnelit veel ei olnud.
Kui mõlemad rollid on saadaval ja nõue on tõesti mõlemad, käita neid eraldi funktsioonidena eraldi dokumentatsiooniga. Üks ruuter võib televiisori jaoks välja helistada ja samal ajal vastu võtta telefoniühendust NAS-iga, kuid need kaks reeglit ei tohi jagada alavõrku, DNS-i seadet ega tulemüüri tsooni, muidu lammutab esimene muudatus, mille ühe jaoks teed, teise.