گوشی بیرون از VPN ماند؟ تونل روتر یا کلاینت روی هر دستگاه

لپ‌تاپ به VPN وصل است، گوشی روی همان Wi-Fi است و گوشی همچنان از نشانی ISP مرور می‌کند. این باگ کلاینت نیست: تونل روی ماشینی زندگی می‌کند که آن را پایان می‌دهد و هیچ چیز دیگری به‌خاطر نزدیکی آن را به ارث نمی‌برد. پوشش فقط وقتی گسترش می‌یابد که روتر خودش کلاینت را اجرا کند یا ماشینی عمداً به دروازه برای LAN تبدیل شود. اینکه کدام مدل را می‌خواهید سه چیز تعیین می‌کند: پروتکلی که ارائه‌دهنده‌تان واقعاً با آن حرف می‌زند، اینکه دستگاه‌ها چقدر باید متفاوت رفتار شوند و اینکه ساعت نُه شب کدام خرابی را تحمل می‌کنید.

تونل روتر واقعاً چه چیزی را پوشش می‌دهد

وقتی تونل روی روتر تمام می‌شود، هر دستگاهی که از آن مسیریابی می‌کند یک خروجی مشترک دارد. این همان جذابیت برای تلویزیون، کنسول یا دستگاهی است که هیچ‌وقت کلاینت اجرا نمی‌کند: چیزی برای نصب نیست، چیزی برای به‌روز نگه داشتن نیست و یک جای واحد برای عوض کردن ارائه‌دهنده.

پوشش به روش‌هایی مشروط است که مردم را غافلگیر می‌کند. شبکه مهمان یا SSID دوم با سیاست خودش مسیری را می‌رود که آن سیاست تعیین می‌کند، نه تونل. مسیر IPv6 می‌تواند تونلی را دور بزند که فقط IPv4 حمل می‌کند. دستگاهی با اپ VPN خودش یا resolver رمزگذاری‌شده خودش روتر را کاملاً نادیده می‌گیرد. و ترافیک خود روتر، شامل به‌روزرسانی‌ها و DNS، از سیاست خروجش پیروی می‌کند که مسیری متفاوت از ترافیک ارسال‌شده LAN است.

بررسی در هر دو مدل یکسان است و یک دقیقه می‌برد: از دو دستگاه بپرسید دنیا چه نشانی‌ای را می‌بیند، بعد در فهرست اتصال‌های روتر به دنبال تونل بگردید. اگر گوشی نشانی ISP را گزارش کند در حالی که روتر تونلی برقرار نشان می‌دهد، گوشی از آن مسیریابی نمی‌شود و هیچ اتصال دوباره‌ای این را تغییر نمی‌دهد.

کجا کلاینت روی هر دستگاه برنده می‌شود

کلاینت‌های روی هر دستگاه به‌محض اینکه نیازها متفاوت شود برنده می‌شوند. لپ‌تاپ کاری ممکن است به تونل سازمانی نیاز داشته باشد که گوشی نباید به آن بپیوندد؛ کلاینت ارائه‌دهنده ممکن است تونل تقسیم‌شده بر اساس برنامه بدهد که روتر نمی‌تواند بیانش کند؛ کنسول ممکن است لازم باشد بیرون بماند تا نوع NAT خود را نگه دارد. هر دستگاه جدا هم خراب می‌شود، پس یک اشتراک منقضی کل خانه را ساکت نمی‌کند.

اعتبارنامه‌ها استدلال تیزتری هستند. روتری که به‌جای همه وصل می‌شود یک حساب دارد و هر کسی در آن شبکه دسترسی‌اش را به ارث می‌برد. اگر مقصود احراز هویت هر شخص پیش از دسترسی به اینترنت است، تونل روتر به‌تنهایی از عهده‌اش برنمی‌آید. طراحی معمول یک دروازه اسیر است که حساب را تأیید می‌کند و بعد کلاینت را در تونلی که از قبل برقرار شده رها می‌کند، که اجزای متحرک بیشتری از آنچه بیشتر خانه‌ها می‌خواهند دارد.

پشتیبانی پروتکل بیش از ترجیح، پرونده‌ها را تعیین می‌کند

روترهای مصرفی فقط پروتکل‌هایی را ارائه می‌دهند که سازنده فرستاده است. روتری با PPTP، L2TP یا IPsec ساده نمی‌تواند به ارائه‌دهنده‌ای وصل شود که فقط پروفایل‌های OpenVPN یا WireGuard منتشر می‌کند و هیچ پیکربندی‌ای این را عوض نمی‌کند. گزینه‌های صادقانه ارائه‌دهنده‌ای است که پروتکل پشتیبانی‌شده حرف می‌زند، روتری با OpenWrt یا فرمویر دیگر با کلاینتی که لازم دارید، یا کلاینت روی هر دستگاه.

حالت برعکس هم به همان اندازه رایج است: روتر توانمند به OpenVPN نمی‌تواند از ارائه‌دهنده‌ای استفاده کند که سرویسش به کلاینت اختصاصی و ترفندهای مسیریابی خودش وابسته است. پیش از خرید سخت‌افزار صفحه پروتکل‌های پشتیبانی‌شده ارائه‌دهنده را بخوانید و نسخه فرمویر را بررسی کنید، چون «از WireGuard پشتیبانی می‌کند» روی صفحه محصول اغلب به یک نسل مشخص فرمویر اشاره دارد.

روتر سفری با کلاینت WireGuard نسخه ارزان مدل روتر و پاسخ معقولی برای چند دستگاه است که نمی‌توانند کلاینت اجرا کنند. هنوز تونل روتر است، پس هر چه بالا درباره شبکه‌های مهمان، IPv6 و خرابی مشترک گفته شد بدون تغییر برقرار است.

گزینه سوم: یک ماشین به‌عنوان دروازه

اشتراک‌گذاری کلاینت از لپ‌تاپ ممکن است و مردم معمولاً همین را می‌گویند وقتی می‌گویند لپ‌تاپ را به روتر تبدیل کردند.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

تا وقتی ماشین به خواب نرود، کلاینت به پروفایل دیگری وصل نشود یا فایروال خود ماشین بسته‌های ارسال‌شده را نیندازد کار می‌کند. آن‌وقت هر چه پشتش است یک‌باره اتصال را از دست می‌دهد و خرابی شبیه شبکه‌ای مرده است نه مشکل VPN.

برای آزمایشگاه یا چیدمان موقت خوب است. به‌عنوان ترتیبی دائمی یک لپ‌تاپ را تنها نقطه خرابی یک خانه می‌کند و معمولاً با این پرسش تمام می‌شود که چرا تلویزیون وقتی دریچه بسته شد از کار افتاد.

درگاه‌های ورودی، DNS و خرابی مشترک

سرویس‌های ورودی با تونل جابه‌جا می‌شوند. VPN روی روتر معمولاً ارسال درگاه برای سرور LAN را می‌شکند و نام DNS پویا باید به خروجی VPN اشاره کند نه به نشانی ISP، اگر قرار است سرویس از طریق تونل در دسترس باشد. بعضی ارائه‌دهنده‌ها هیچ نشانی ورودی قابل مسیریابی نمی‌دهند، و این بی‌صدا هر برنامه‌ای را که به آن تکیه داشت پایان می‌دهد.

DNS وقتی روتر مالک تونل است از روتر پیروی می‌کند، که راحت است تا وقتی یک دستگاه resolver دیگری بخواهد. کلاینت روی هر دستگاه می‌تواند این را بیان کند؛ سیاست روتر بدون دو نیم کردن شبکه نمی‌تواند. خرابی هم مشترک است، چون یک فروپاشی، یک اشتراک منقضی یا یک مسیر بدِ هُل داده‌شده همه دستگاه‌ها را در یک لحظه قطع می‌کند.

مدل روتر را انتخاب کنید وقتی دستگاه‌ها نمی‌توانند کلاینت اجرا کنند و یک خروجی پذیرفتنی است. کلاینت روی هر دستگاه را انتخاب کنید وقتی سیاست‌ها متفاوت‌اند، وقتی ارائه‌دهنده پروتکلی می‌خواهد که روتر ندارد، یا وقتی حساب نباید به اشتراک گذاشته شود. اگر ماشین دروازه است، بنویسید کدام رابط کدام شبکه را به اشتراک می‌گذارد و حالت «تونل افتاد» را آزمایش کنید، چون در همان حال است که بیشتر این طراحی‌ها غلط از آب درمی‌آیند.