Sillatila ei ole VPN-läpikulku: mitä kumpikin muuttaa
Sillatila muuttaa reitittimen välitysroolia; läpikulku päästää vain asiakkaan VPN:n sen läpi. Kumpikaan ei luo tunnelia, joten ne eivät ole keskenään vaihtokelpoisia.
Sillatila ja VPN-läpikulku mainitaan samassa vianetsintäketjussa, koska molempia tarjotaan korjaukseksi VPN:lle, joka ei yhdistä. Ne kuvaavat reitittimen eri toimintoja, eikä kumpikaan luo itsessään VPN-tunnelia. Sillaus muuttaa sitä, miten laite liittyy verkkosegmentteihin tai kuka hoitaa reitityksen; läpikulku päättää, voiko asiakkaan VPN-liikenne ylittää yhdyskäytävän. Väärä valinta muuttaa pienen ongelman koko iltapäivän kestäväksi osoitteiden uudelleenjakamiseksi.
Kaksi nimeä, kaksi eri toimintoa
Testi on yksinkertainen: yritätkö muuttaa verkon muotoa vai päästää jo olemassa olevan liikenteen sen läpi? Ne ovat eri pyyntöjä, joilla on eri seuraukset.
Vertailu yhdessä taulukossa:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Vain kaksi viimeistä luovat tunnelin reitittimelle. Sillaus ja läpikulku jättävät molemmat päätepisteen muualle, minkä vuoksi kumpikaan ei voi korjata ongelmaa, jonka aiheuttaa puuttuva asiakas tai tavoittamaton palvelin. Ero on helppo kadottaa, koska asetukset sijaitsevat lähekkäin samassa käyttöliittymässä. Kirjoita muistiin, mikä päätepiste omistaa tunnelin, ennen kuin avaat sen sivun.
Läpikulun valintaruutu ei sekään ole täydellinen kuvaus protokollatuesta. Nykyaikainen IPsec NAT-läpikulku käyttää standardoitua UDP-kapselointia, kun taas vanhemmat aputoiminnot käyttäytyvät toteutuskohtaisesti.
Markkinointimerkintä VPN-tuesta ei kerro, mitä näistä neljästä roolista se tarkoittaa.
Mitä sillatila muuttaa laitteessasi
Modeemissa tai reitittimessä sillan valinta siirtää yleensä reititys- ja NAT-vastuut toiselle yhdyskäytävälle alavirtaan. Ohjelmistolaitteessa se voi tarkoittaa valittujen paikallisten liitäntöjen liittämistä yhteen lähetysverkkotunnukseen. Tarkka laajuus riippuu tuotteesta, joten lue mallin dokumentaatiota äläkä sanan. Molemmat tulkinnat muuttavat osoitteiden jakoa, palomuurin rajoja ja sitä, miten pääset hallintaan.
Juuri siksi sillaus on huono ensimmäinen vastaus VPN-vikaan. Voit menettää hallintayhteyden, kun alkuperäinen ongelma on yhä ratkaisematta.
Ota konfiguraatiosta varmuuskopio ennen verkkoroolin muuttamista, koska osoitteistus voi siirtyä mukana.
Valitse rooli ennen asetusta
Lähettääksesi kotitalouden liikenteen ulkoisen uloskäynnin kautta tarvitset yhteensopivan reitittimen VPN-asiakasohjelman, et siltaa. Yhdistääksesi kotiin muualta tarvitset palvelinroolin ja ylävirran reitin, joka tavoittaa sen. Näillä kahdella vaatimuksella ei ole juuri mitään yhteistä VPN-sanan lisäksi. Päätä, kumpaa rakennat, ennen kuin katsot valikkoa.
Laite voi tukea molempia rooleja ja silti olla tukematta tarvitsemaasi sillä nopeudella, jota odotat.
Rooli on suunnittelupäätös; asetus on sen seuraus.
Jos vain yksi protokolla epäonnistuu
Kun yksi protokolla epäonnistuu muuten toimivan reitittimen takana, tutki ensin kyseisen protokollan kuljetus ja NAT-reitti. Koko yhdyskäytävän tilan muuttaminen yhden asiakkaan korjaamiseksi vastaa talon uudelleenjohdottamista rikkoutuneen lampun takia. Tarkista, onko liikenne UDP-kapseloitu, koskeeko reitittimen aputoiminto kyseistä protokollaa ja onko vika symmetrinen. Päätä sitten, onko roolin vaihto todella perusteltua.
RFC 3948 kuvaa UDP-kapseloinnin, jonka ansiosta IPsec selviytyy NAT:sta, ja se on standardi, joka on tarkistettava ennen kuin luottaa läpikulun valintaruutuun.
Kirjaa, mitä muutit ja miksi, koska seuraava henkilö löytää laitteen sillatilasta ja olettaa sen olleen tarkoituksellista. Oikea lopputulos on verkko, jonka muodon valitsit itse, ei se, jonka perit vianetsintäistunnosta.