Puhelin VPN:n ulkopuolella? Reitittimen tunneli vai asiakaslaite per laite

Kannettava on yhdistetty VPN:hen, puhelin on samassa Wi-Fi-verkossa ja puhelin selaa silti operaattorin osoitteesta. Se ei ole asiakasohjelman bugi: tunneli elää koneessa, joka sen päättää, eikä mikään muu peri sitä läheisyyden perusteella. Kattavuus leviää vain, kun reititin itse ajaa asiakasohjelmaa, tai kun kone tehdään tarkoituksella lähiverkon yhdyskäytäväksi. Haluttavan mallin ratkaisevat kolme asiaa: protokolla, jota palveluntarjoajasi todella puhuu, miten eri tavalla laitteita on kohdeltava, ja mikä vika on siedettävä yhdeksältä illalla.

Mitä reitittimen tunneli oikeastaan kattaa

Kun tunneli päättyy reitittimeen, jokainen sen kautta reitittävä laite jakaa ulostulon. Se on vetovoima television, konsolin tai laitteen kohdalla, joka ei koskaan aja asiakasohjelmaa: ei mitään asennettavaa, ei mitään päivitettävää ja yksi paikka vaihtaa palveluntarjoajaa.

Kattavuus on ehdollista tavoilla, jotka yllättävät. Vierasverkko tai toinen SSID omalla käytännöllään kulkee sitä polkua, jonka käytäntö määrittää, ei tunnelia. IPv6-polku voi ohittaa tunnelin, joka kuljettaa vain IPv4:ää. Laite, jossa on oma VPN-sovellus tai oma salattu resolveri, jättää reitittimen kokonaan huomiotta. Ja reitittimen oma liikenne, päivitykset ja DNS mukaan lukien, noudattaa sen lähtökäytäntöä, joka on eri polku kuin lähiverkon välittyvä liikenne.

Tarkistus on sama molemmissa malleissa ja kestää minuutin: kysy kahdelta laitteelta, minkä osoitteen maailma näkee, ja katso sitten reitittimen yhteyksien luettelosta tunnelia. Jos puhelin ilmoittaa operaattorin osoitteen reitittimen näyttäessä muodostettua tunnelia, puhelinta ei reititetä sen kautta, eikä mikään uudelleenyhdistäminen muuta sitä.

Missä asiakaslaite per laite voittaa

Asiakasohjelmat per laite voittavat heti, kun vaatimukset erkanevat. Työkannettava voi tarvita yritystunnelin, johon puhelin ei saa liittyä; palveluntarjoajan asiakasohjelma voi tarjota jaetun tunnelin sovelluskohtaisesti, mitä reititin ei osaa ilmaista; konsolin on ehkä pysyttävä ulkopuolella NAT-tyyppinsä säilyttämiseksi. Jokainen laite myös epäonnistuu itsenäisesti, joten yksi vanhentunut tilaus ei vaienna koko taloa.

Tunnistetiedot ovat terävämpi argumentti. Reititin, joka yhdistää kaikkien puolesta, pitää yhtä tiliä, ja jokainen siinä verkossa perii sen käyttöoikeuden. Jos tarkoitus on henkilökohtainen todennus ennen internet-yhteyttä, pelkkä reitittimen tunneli ei pysty siihen. Tavallinen ratkaisu on captive portal, joka vahvistaa tilin ja päästää asiakasohjelman sitten jo muodostettuun tunneliin, mikä on enemmän liikkuvia osia kuin useimmat kodit haluavat.

Protokollatuki ratkaisee useampia tapauksia kuin mieltymys

Kuluttajareitittimet tarjoavat vain ne protokollat, jotka valmistaja toimitti. Reititin, jossa on PPTP, L2TP tai tavallinen IPsec, ei voi yhdistää palveluntarjoajaan, joka julkaisee vain OpenVPN tai WireGuard-profiileja, eikä mikään asetelma muuta sitä. Rehelliset vaihtoehdot ovat palveluntarjoaja, joka puhuu tuettua protokollaa, reititin OpenWrt:llä tai muulla laiteohjelmistolla ja tarvitsemallasi asiakasohjelmalla, tai asiakasohjelma joka laitteessa.

Käänteinen tapaus on yhtä tavallinen: OpenVPN-kykyinen reititin ei voi käyttää palveluntarjoajaa, jonka palvelu riippuu omasta asiakasohjelmasta ja sen omista reititystempuista. Lue palveluntarjoajan tuettujen protokollien sivu ennen laitteiston ostamista ja tarkista laiteohjelmiston versio, sillä tuotesivun „tukee WireGuardia“ tarkoittaa usein yhtä tiettyä laiteohjelmistosukupolvea.

Matkareititin WireGuard-asiakasohjelmalla on reititinmallin halpa versio ja kohtuullinen vastaus kouralliselle laitteita, jotka eivät voi ajaa asiakasohjelmaa. Se on yhä reitittimen tunneli, joten kaikki edellä sanottu vierasverkoista, IPv6:sta ja jaetusta viasta pätee muuttumattomana.

Kolmas vaihtoehto: kone yhdyskäytävänä

Asiakasohjelman jakaminen kannettavasta on mahdollista, ja sitä ihmiset yleensä tarkoittavat, kun he muuttavat kannettavan reitittimeksi.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Se toimii, kunnes kone nukkuu, asiakasohjelma yhdistyy uudelleen toiseen profiiliin tai koneen oma palomuuri pudottaa välitetyt paketit. Silloin kaikki sen takana menettää yhteyden kerralla, ja vika näyttää kuolleelta verkolta eikä VPN-ongelmalta.

Laboratorioon tai tilapäiseen järjestelyyn se on hyvä. Pysyvänä ratkaisuna se tekee yhdestä kannettavasta koko talouden ainoan vikapisteen, ja se päättyy yleensä siihen, että joku ihmettelee, miksi televisio lakkasi toimimasta, kun kansi suljettiin.

Saapuvat portit, DNS ja jaettu vika

Saapuvat palvelut liikkuvat tunnelin mukana. Reitittimen VPN rikkoo yleensä lähiverkon palvelimen portinohjauksen, ja dynaamisen DNS-nimen on osoitettava VPN:n ulostuloon eikä operaattorin osoitteeseen, jos palvelun on oltava saavutettavissa tunnelin kautta. Jotkut palveluntarjoajat eivät tarjoa lainkaan reititettävää saapuvaa osoitetta, mikä lopettaa hiljaa jokaisen suunnitelman, joka nojasi sellaiseen.

DNS seuraa reititintä, kun reititin omistaa tunnelin, mikä on kätevää, kunnes yksi laite tarvitsee toisen resolverin. Asiakasohjelma per laite pystyy ilmaisemaan sen; reitittimen käytäntö ei ilman verkon halkaisemista kahtia. Myös vika on jaettu, sillä yksi kaatuminen, yksi vanhentunut tilaus tai yksi huono työnnetty reitti katkaisee jokaisen laitteen samalla hetkellä.

Valitse reititinmalli, kun laitteet eivät voi ajaa asiakasohjelmia ja yksi ulostulo on hyväksyttävä. Valitse asiakasohjelmat per laite, kun käytännöt eroavat, kun palveluntarjoaja tarvitsee protokollan, jota reitittimessä ei ole, tai kun tiliä ei saa jakaa. Jos kone on yhdyskäytävä, kirjoita muistiin, mikä liitäntä jakaa minkä verkon, ja testaa tilanne „tunneli alhaalla“, sillä siinä tilassa useimmat näistä suunnitelmista osoittautuvat vääriksi.