Tarkista reitittimen asiakasrooli ennen VPN-profiilin tuontia

VPN-logolla varustettu tuotesivu kertoo, että laite osaa tehdä jotain VPN:llä. Se ei kerro, että laiteohjelmisto voi toimia asiakkaana sen protokollan osalta, joka on kädessäsi olevassa tiedostossa. Ne ovat eri ominaisuuksia, joilla on eri vaatimukset, ja niiden välinen kuilu on se paikka, jossa useimmat tällaiset ostokset menevät pieleen. Tarkista rooli ennen merkkiä.

Neljä tarkistusta muuttaa ominaisuusluettelon vastaukseksi.

VPN-logo ei ole ilmoitus ominaisuuksista

Reitittimet mainostavat VPN-tukea ainakin kolmessa merkityksessä: läpivienti muiden laitteiden liikenteelle, palvelin, joka vastaanottaa saapuvia tunneleita, ja asiakas, joka käynnistää lähtevän tunnelin. Vain kolmas kuluttaa lataamasi profiilin. Erityisesti IPsec-läpivienti on NAT-apuri eikä päätepiste, ja sitä esiintyy laitteissa, jotka eivät voi lainkaan päättää tai aloittaa IPsec:iä.

Kysy, mitä roolia tiedosto tarvitsee, ja kysy sitten, onko se rooli laitteen laiteohjelmistoversiossa.

Lue ominaisuusluettelo siltä laiteohjelmistolta, jota todella ajat

Mallinimet eivät ole laiteohjelmistoversioita, ja edelliselle pääjulkaisulle kirjoitettu opas kuvaa eri ominaisuusjoukon. OpenWrt:ssä kysymykseen voi vastata kuoresta: opkg list-installed | grep -E "openvpn|wireguard" näyttää, ovatko asiakaspaketit paikalla, ja WireGuardin ydinmoduuli on erillään käyttäjätilan työkaluista. Toimittajan laitteessa lue asennetun buildin julkaisutiedot mallin markkinointisivun sijaan.

Jos ominaisuus toimitetaan pakettina, varmista, että se on asennettu eikä vain saatavilla repositoriossa.

Sovita profiilin muoto tuontityökaluun

OpenVPN-profiili on direktiivikieli. WireGuardin vertaistiedosto on INI, jossa on yksityinen avain ja sallittujen IP-osoitteiden luettelo. IKEv2-tunnistetiedot ovat varmenne tai käyttäjätunnus ja palvelimen identiteetti. Reitittimen lomake, joka hyväksyy yhden niistä, ei käännä muita, ja tuontipainike, joka väittää hyväksyvänsä mitä tahansa, ansaitsee epäluulon.

Avaa tiedosto ja lue kymmenen ensimmäistä riviä. Se kertoo, minkä tuontityökalun tarvitset ennen kuin yksikään valikko ehtii.

Tarkista valinnat, joita profiili todella käyttää

Protokollan tuki ei ole profiilisi tuki. Katso direktiivejä, jotka kantavat turvaominaisuudet: upotetut varmenteet, tls-crypt tai tls-auth, salauksen ja datasalauksen valinnat, pakkaus ja skriptikoukut. Reitittimen toteutus voi hyväksyä tiedoston ja jättää hiljaa huomiotta direktiivin, jota se ei toteuta, mikä antaa tunnelin, joka yhdistyy ja käyttäytyy toisin kuin kannettavasi tunneli.

Vaarallinen lopputulos ei ole hylätty tuonti. Se on hyväksytty tuonti, joka on hiljaa pudottanut jotain.

Testaa käytäntöä, älä vain kättelyä

Päätä, mitä yhteyden on kannettava: yksi segmentti vai jokainen laite, mikä DNS-resolveri, tuleeko IPv6 tunneliin vai jääkö paikalliseksi ja mitä tapahtuu, kun tunneli kaatuu. Ne ovat erillisiä ominaisuuksia yhteyden muodostuksesta, ja juuri siinä reititin eroaa eniten työpöytäasiakkaasta. Pidä paikallinen hallinta tavoitettavissa testauksen aikana, tai ensimmäinen reititysvirhe maksaa fyysisen pääsyn.

Valmis kättely on varmistuksen alku. Lähetä todellista liikennettä todelliseen kohteeseen ja tarkista paluureitti.