Telefonoa VPNtik kanpo geratu da? Routerreko tunela edo gailu bakoitzeko bezeroa

Ordenagailu eramangarria VPNera konektatuta dago, telefonoa Wi-Fi berean dago, eta telefonoak oraindik ISPren helbidetik nabigatzen du. Hori ez da bezeroaren akatsa: tunel bat berau amaitzen duen makinan bizi da, eta beste ezerk ez du heredatzen gertutasunagatik. Estaldura soilik zabaltzen da routerrak berak bezeroa exekutatzen duenean, edo makina bat nahita LANerako ate bihurtzen denean. Zein eredu nahi duzun hiruk erabakitzen dute: zure hornitzaileak benetan hitz egiten duen protokoloak, gailuak zenbat desberdin tratatu behar diren eta gaueko bederatzietan zein porrot jasan dezakezun.

Routerreko tunelak zer hartzen duen benetan

Tunela routerrean amaitzen denean, hortik bidaltzen diren gailu guztiek irteera bera partekatzen dute. Hau da telebista, kontsola edo inoiz bezerorik exekutatuko ez duen etxetresna baterako erakargarritasuna: ez dago ezer instalatu beharrik, ez dago ezer eguneratuta mantendu beharrik, eta hornitzailea aldatzeko leku bakarra.

Estaldura baldintzatuta dago jendea harritzen duten moduetan. Gonbidatuen sarea edo bere politika duen bigarren SSID bat politika horrek zehaztutako bidea hartzen du, ez tunela. IPv6 bideak IPv4 bakarrik daraman tunela saihes dezake. Bere VPN aplikazioa edo bere resolver enkriptatua duen gailuak erabat ezikusi egiten dio routerrari. Eta routerraren beraren trafikoak, eguneraketak eta DNS barne, bere irteera-politikari jarraitzen dio, hau da, LANeko birbidalitako trafikoaren bide ezberdina.

Egiaztapena berdina da bi ereduetan eta minutu bat irauten du: galdetu bi gailuri munduak zein helbide ikusten duen, gero begiratu routerraren konexio-zerrendan tunela. Telefonoak ISPren helbidea jakinarazten badu routerrak ezarritako tunela erakusten duen bitartean, telefonoa ez da horren bidez bideratzen, eta berriz konektatzeak ez du hori aldatuko.

Non irabazten du gailu bakoitzeko bezeroak

Gailu bakoitzeko bezeroek irabazten dute baldintzak bereizten diren unetik. Lanerako ordenagailuak telefonoak sartu behar ez duen korporazio-tunel bat behar izan dezake; hornitzailearen bezeroak aplikazioz banatutako tunela eskain dezake, routerrak adierazi ezin duena; kontsola kanpoan geratu behar izan daiteke bere NAT mota mantentzeko. Gailu bakoitzak bere kabuz ere huts egiten du, beraz iraungitako harpidetza batek ez du etxe osoa isiltzen.

Kredentzialak dira argudio zorrotzena. Denon izenean konektatzen den routerrak kontu bakarra dauka, eta sare horretako pertsona bakoitzak haren sarbidea heredatzen du. Asmoa interneteko sarbidea baino lehen pertsona bakoitza autentifikatzea bada, routerreko tunelak bakarrik ezin du. Ohiko diseinua atebide gatibu bat da, kontua baliozkotzen duena eta gero bezeroa jada ezarrita dagoen tunel batera uzten duena, hau da, etxebizitza gehienek nahi dutena baino pieza mugikor gehiago.

Protokoloen laguntzak nahiak baino kasu gehiago erabakitzen ditu

Kontsumitzaileen routerrek fabrikatzaileak jarritako protokoloak baino ez dituzte erakusten. PPTP, L2TP edo IPsec soila duen routerrak ezin du OpenVPN edo WireGuard profilak soilik argitaratzen dituen hornitzaile batera konektatu, eta konfigurazioak ez du hori aldatzen. Aukera zintzoak hauek dira: lagundutako protokoloa hitz egiten duen hornitzailea, OpenWrt edo beste firmware bat duen routerra behar duzun bezeroarekin, edo gailu bakoitzeko bezeroa.

Alderantzizko kasua bezain ohikoa da: OpenVPN gaitutako routerrak ezin du erabili bere bezero propioa eta bere bideratze-trikua behar dituen hornitzailea. Irakurri hornitzailearen lagundutako protokoloen orria hardwarea erosi aurretik, eta egiaztatu firmwarearen bertsioa, produktu-orriko «WireGuard onartzen du» esaldiak askotan firmware belaunaldi zehatz bat esan nahi baitu.

WireGuard bezeroa duen bidaia-routerra router-ereduaren bertsio merkea da, eta bezeroa exekuta ezin duten gailu gutxi batzuen erantzun zentzuzkoa. Oraindik routerreko tunela da, beraz goiko guztia gonbidatu-sareei, IPv6ri eta porrot partekatuari buruz aldaketarik gabe aplikatzen da.

Hirugarren aukera: makina bat atetzat

Ordenagailu eramangarritik bezeroa partekatzea posible da, eta hori esan ohi dute pertsonek ordenagailua router bihurtu dutela esaten dutenean.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Honek funtzionatzen du makinak lo egiten duen arte, bezeroa beste profil batera berriz konektatzen den arte edo makinaren suebakiak birbidalitako paketeak botatzen dituen arte. Orduan atzean dagoen guztiak konektibitatea aldi berean galtzen du, eta porrota sare hila dirudi VPN arazoa izan beharrean.

Laborategi edo behin-behineko muntaketa baterako ondo dago. Konponketa iraunkor gisa ordenagailu eramangarri bat etxeko hutsegite-puntu bakarra bihurtzen du, eta normalean norbait estalkia itxi zenean telebista zergatik gelditu zen galdetzearekin amaitzen da.

Sarrerako portuak, DNS eta partekatzen duzun porrota

Sarrerako zerbitzuak tunelarekin batera mugitzen dira. Routerreko VPNak normalean LAN zerbitzariaren portu-birbidalketa hausten du, eta DNS izen dinamikoak VPNaren irteerara begiratu behar du ISPren helbidera beharrean, zerbitzua tunelaren bidez irisgarria izan behar bada. Hornitzaile batzuek ez dute batere sarrerako helbide bideragarririk eskaintzen, eta horrek isilik amaitzen du horren mende zegoen edozein plan.

DNSk routerrari jarraitzen dio routerrak tunela duenean, eta erosoa da gailu batek beste resolver bat behar duen arte. Gailu bakoitzeko bezeroak hori adieraz dezake; routerraren politikak ez, sarea bitan zatitu gabe. Porrota ere partekatuta dago, ze haustura batek, iraungitako harpidetza batek edo gaizki bultzatutako bide batek gailu guztiak une berean deskonektatzen ditu.

Aukeratu router-eredua gailuek bezeroak exekuta ezin dituztenean eta irteera bakarra onargarria denean. Aukeratu gailu bakoitzeko bezeroak politikak desberdinak direnean, hornitzaileak routerrak ez duen protokoloa behar duenean edo kontua partekatu behar ez denean. Makina atea bada, idatzi zein interfaze partekatzen duen zein sare, eta probatu «tunela behera» kasua, azken batean diseinu horietako gehienak egoera horretan agertzen baitira oker.