حالت کلاینت VPN روی روتر در برابر حالت سرور: هرکدام چه چیزی را ممکن می‌کند
یک نقش روتر ترافیک شما را به خروجی دوردست می‌فرستد و نقش دیگر شما را دوباره به داخل راه می‌دهد. پیش از فعال‌کردن هر یک، منوها، اعتبارنامه‌ها و مسیر بازگشت را بخوانید.
وارد روتر می‌شوید، صفحه VPN را باز می‌کنید و دو زبانه می‌بینید که مانند یک قابلیت دو بار توصیف‌شده به نظر می‌رسند: یکی فایل پروفایل از جای دیگر می‌خواهد، دیگری می‌خواهد گواهی بسازید و یک پورت انتخاب کنید. این‌ها دو نما از یک تنظیم نیستند. یک نقش روتر را به تماس به بیرون وامی‌دارد و نقش دیگر به پاسخ دادن، و یک دستگاه می‌تواند هر دو را انجام دهد، بدون آنکه یکی به دیگری کمک کند. در ادامه می‌خوانید چگونه منو را بخوانید و پیش از فعال‌کردن هر چیزی تصمیم بگیرید در کدام سمت هستید.
منوی VPN را باز کنید و نام نقش‌ها را بخوانید
از سرفصل بخش‌ها شروع کنید، نه از کلیدها. زبانه‌ای با برچسب کلاینت یا «اتصال به سرویس VPN» پروفایل واردشده، فایل پیکربندی یا مجموعه‌ای از اعتبارنامه‌های صادرشده توسط شخص دیگر را انتظار دارد. زبانه‌ای با برچسب سرور انتظار دارد هویت‌ها را بسازید، پروتکل و پورت را انتخاب کنید و معمولاً برای هر دستگاهی که وصل می‌شود پروفایلی صادر کنید.
جمله بازاریابی روی جعبه را تا زمانی که منو با آن مطابقت نکند تأییدنشده بدانید. «پشتیبانی از VPN» می‌تواند به معنای کلاینت، سرور، کمک‌کننده عبور پروتکل باشد که فقط بسته‌ها را به دستگاهی پشت روتر می‌فرستد، یا یک برنامه دسترسی از راه دور اختصاصی بدون هیچ پروفایل استاندارد. تنها مستندات فریم‌ور است که این حالت‌ها را از هم جدا می‌کند، و شماره مدل روی برچسب چنین کاری نمی‌کند.
حالت کلاینت: شبکه محلی شما از خروجی شخص دیگری بیرون می‌رود
در حالت کلاینت، روتر مانند لپ‌تاپی رفتار می‌کند که برنامه VPN اجرا می‌کند. به پروتکل سازگار، پروفایل یا اعتبارنامه از اپراتور دوردست و تصمیمی درباره مسیریابی نیاز دارد که کدام دستگاه‌های پایین‌دستی از تونل استفاده کنند. بسیاری از فریم‌ورها فهرست سیاستی ارائه می‌دهند که در آن نشانی‌های مبدأ یا رابط‌هایی را که باید از تونل بروند نام می‌برید و بقیه را روی اتصال عادی می‌گذارید.
بخشی که بی‌صدا شکست می‌خورد سمت دوردست است. نقطه پایانی که به آن وصل می‌شوید باید ترافیک اینترنت را برای شما هدایت کند و مسیر بازگشت بدهد، و این سیاستِ ارائه‌دهنده است، نه تنظیمی روی روتر شما. منویی که فقط حالت سرور ارائه می‌دهد هر طور هم پیکربندی شود نمی‌تواند این سرویس بیرونی را بسازد، و ارائه‌دهنده‌ای که فقط پیوندهای سایت‌به‌سایت را پشتیبانی می‌کند ممکن است تونل را با موفقیت وصل کند اما هر چیزی را که از آن می‌فرستید دور بریزد.
سپس بررسی کنید تونل چگونه DNS را مدیریت می‌کند. اگر پروفایل یک حل‌کننده را هل بدهد، روتر باید آن حل‌کننده را به کلاینت‌های پایین‌دستی بدهد؛ اگر ندهد، کلاینت‌ها همچنان از حل‌کننده ارائه‌دهنده اینترنت استفاده می‌کنند و نام‌ها را بیرون از تونل حل می‌کنند هرچند بسته‌ها داخل می‌روند. بررسی سریع از یک لپ‌تاپ متصل: نشانی‌ای که در صفحه بازتاب IP می‌بینید باید خروجی باشد، و نشانی حل‌کننده در حال استفاده باید همان باشد که تونل داده است.
حالت سرور: شخص دیگری به شبکه محلی شما می‌رسد
حالت سرور جهت را برعکس می‌کند. روتر گوش می‌دهد، دستگاه مسافر وصل می‌شود و سپس روتر تصمیم می‌گیرد این اتصال به کدام منابع خانه دسترسی دارد. این همان نقشی است که برای NAS، یک ماشین آزمایشگاه یا یک چاپگر می‌خواهید، و یک پیش‌شرط دارد که نقش کلاینت ندارد: چیزی از بیرون باید بتواند به شنونده برسد.
همان پیش‌شرط جایی است که بیشتر راه‌اندازی‌های خانگی متوقف می‌شوند. اگر روتر پشت دروازه خودِ ارائه‌دهنده اینترنت باشد، پورت VPN باید از آن دروازه هدایت شود، یا روتر باید در حالت پل یا DMZ قرار گیرد. پشت NAT در سطح اپراتور هیچ پورت ورودی برای هدایت وجود ندارد، پس طراحی باید تغییر کند: تونل خروجی از روتر به یک رله، یک نقطه پایانی میزبانی‌شده یا یک محصول مش. سروری که نمی‌توان به آن رسید بد پیکربندی نشده، دسترسی‌ناپذیر است.
هویت‌ها هم بر اساس نقش متفاوت‌اند. پروفایل کلاینت خانگی که همه چیز را به خروجی پرداختی می‌فرستد یک راز مشترک است، در حالی که سروری که سه گوشی و یک لپ‌تاپ را می‌پذیرد به چهار هویت نیاز دارد که بتوانید جداگانه لغو کنید. گواهی‌ها و کلیدها برای هر دستگاه‌اند، و صفحه صدور روتر باید برای هر دستگاه یک فایل بدهد نه یک فایل برای کل خانه.
پیش از تعهد، پیاده‌سازی دقیق را بررسی کنید
مستندات Netgate درباره انتخاب نقش VPN نقش‌ها را به این شکل جدا می‌کند، و ارزش دارد صفحه معادل را برای فریم‌ور خود بخوانید به‌جای آنکه از نام زبانه‌ها نتیجه بگیرید. سه واقعیت مشخص را بجویید: کلاینت با کدام پروتکل‌ها می‌تواند صحبت کند، آیا سرور پروتکلی را که دستگاه‌های شما استفاده می‌کنند پشتیبانی می‌کند، و آیا سیاست مسیریابی نشانی‌های مبدأ، کل رابط‌ها یا هیچ چیز را پوشش می‌دهد.
سپس به مرز پشتیبانی نگاه کنید. روتر مصرفی با زبانه کلاینت اما بدون فهرست سیاست، هر دستگاه را از تونل می‌فرستد، که برای یک جعبه پخش خوب و برای لپ‌تاپ کاری که به تونل دفتر نیاز دارد بد است. روتری با زبانه سرور اما یک پروفایل مشترک، ابزار آزمایشگاهی معقول و انتخاب بدی برای یک خانواده است، چون لغو یک دستگاه یعنی تغییر پیکربندی همه.
نقش را بر اساس جایی که ترافیک شروع می‌شود انتخاب کنید
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
پیش از تغییر هر چیز دیگری، ردیف انتخاب‌شده را از اول تا آخر بروید. نقش را فعال کنید، یک کلاینت وصل کنید، نشانی‌ای که با آن ظاهر می‌شود را تأیید کنید، تأیید کنید از کدام حل‌کننده استفاده می‌کند و مسیر بازگشت در جهت مخالف را تأیید کنید. اگر روتر صفحه فایروال هم دارد، بررسی کنید که رابط جدید با قاعده پیش‌فرضی که زمانی نوشته شده که تونل وجود نداشت مسدود نشود.
وقتی هر دو نقش در دسترس‌اند و نیاز واقعاً هر دو است، آن‌ها را به‌عنوان قابلیت‌های جدا با مستندات جدا اجرا کنید. یک روتر می‌تواند برای تلویزیون به بیرون تماس بگیرد و همزمان اتصال گوشی به NAS را بپذیرد، اما دو سیاست نباید یک زیرشبکه، یک تنظیم DNS یا یک ناحیه فایروال را شریک شوند، وگرنه اولین تغییری که برای یکی می‌دهید دیگری را می‌شکند.