VPN-asiakas reitittimessä vai palvelintila: mitä kumpikin mahdollistaa
Toinen reitittimen rooli lähettää liikenteesi etäiseen ulostuloon, toinen päästää sinut takaisin sisään. Lue valikot, tunnistetiedot ja paluureitti ennen kuin otat kumman tahansa käyttöön.
Kirjaudut reitittimeen, avaat VPN-sivun ja löydät kaksi välilehteä, jotka näyttävät samalta ominaisuudelta kahdesti kuvattuna: toinen haluaa profiilitiedoston muualta, toinen haluaa sinun luovan varmenteet ja valitsevan portin. Ne eivät ole yhden asetuksen kaksi näkymää. Toinen rooli saa reitittimen soittamaan ulos, toinen saa sen vastaamaan, ja yksi laite voi tehdä molemmat, ilman että toinen auttaa toista. Näin luet valikon ja päätät, kummalla puolella olet, ennen kuin otat mitään käyttöön.
Avaa VPN-valikko ja lue roolien nimet
Aloita osioiden otsikoista, älä kytkimistä. Asiakkaaksi tai ”yhdistä VPN-palveluun” merkityn välilehden odotuksena on tuotu profiili, asetustiedosto tai jonkun toisen myöntämä tunnistetietojoukko. Palvelimeksi merkityn välilehden odotuksena on, että luot identiteetit, valitset protokollan ja portin ja yleensä viet profiilin jokaiselle yhdistyvälle laitteelle.
Pidä laatikon markkinointilause vahvistamattomana, kunnes valikko vastaa sitä. ”VPN-tuki” voi tarkoittaa asiakasta, palvelinta, protokollan läpikulkua auttavaa apuria, joka vain välittää paketteja reitittimen takana olevalle laitteelle, tai omaa etäkäyttösovellusta ilman mitään vakioprofiilia. Vain laiteohjelmiston dokumentaatio erottaa nämä tapaukset, eikä tarran mallinumero tee sitä.
Asiakastila: lähiverkkosi lähtee jonkun toisen ulostulosta
Asiakastilassa reititin käyttäytyy kuin VPN-sovellusta ajama kannettava. Se tarvitsee yhteensopivan protokollan, profiilin tai tunnistetiedot etäoperaattorilta ja reitityspäätöksen siitä, mitkä alavirran laitteet käyttävät tunnelia. Monissa laiteohjelmistoissa on käytäntöluettelo, jossa nimeät lähdeosoitteet tai liittymät, jotka tulee lähettää tunnelin kautta, ja jätät loput tavalliselle yhteydelle.
Ääneti epäonnistuva osa on etäpää. Päätepisteen, johon yhdistät, täytyy välittää verkkoliikennettä puolestasi ja tarjota paluureitti, ja se on palveluntarjoajan käytäntö, ei reitittimesi asetus. Valikko, joka tarjoaa vain palvelintilan, ei pysty rakentamaan tätä ulospäin suuntautuvaa palvelua millään asetuksilla, ja palveluntarjoaja, joka tukee vain toimipaikkojen välisiä yhteyksiä, voi yhdistää tunnelin onnistuneesti mutta pudottaa kaiken, mitä sen kautta lähetät.
Tarkista seuraavaksi, miten tunneli käsittelee DNS:n. Jos profiili työntää nimipalvelimen, reitittimen pitäisi antaa se alavirran asiakkaille; jos ei, asiakkaat käyttävät edelleen operaattorin nimipalvelinta ja selvittävät nimiä tunnelin ulkopuolella, vaikka paketit kulkevat sisällä. Nopea tarkistus yhdistetystä kannettavasta: osoitteen, jonka näet IP-kaikusivulla, pitäisi olla ulostulo, ja käytössä olevan nimipalvelimen osoitteen pitäisi olla tunnelin toimittama.
Palvelintila: joku toinen saapuu lähiverkkoosi
Palvelintila kääntää suunnan. Reititin kuuntelee, matkalla oleva laite yhdistää ja sitten reititin päättää, mitä kodin resursseja yhteys saa tavoittaa. Tämä on rooli, jonka haluat NASille, laboratoriokoneelle tai tulostimelle, ja siinä on ennakkoehto, jota asiakasroolissa ei ole: jonkin ulkopuolella olevan täytyy päästä kuuntelijaan.
Juuri tähän ennakkoehtoon useimmat kotiasennukset pysähtyvät. Jos reititin on operaattorin oman yhdyskäytävän takana, VPN-portti on välitettävä siitä yhdyskäytävästä tai reititin on asetettava silta- tai DMZ-tilaan. Operaattoritason NATin takana ei ole lainkaan saapuvaa porttia välitettäväksi, joten suunnitelmaa on muutettava: lähtevä tunneli reitittimestä välittäjään, ylläpidettyyn päätepisteeseen tai mesh-tuotteeseen. Palvelin, johon ei pääse, ei ole väärin asetettu, se on saavuttamaton.
Identiteetit vaihtelevat myös roolin mukaan. Kotitalouden asiakasprofiili, joka lähettää kaiken maksulliseen ulostuloon, on yksi jaettu salaisuus, kun taas palvelin, joka päästää sisään kolme puhelinta ja kannettavan, tarvitsee neljä identiteettiä, jotka voit peruuttaa erikseen. Varmenteet ja avaimet ovat laitekohtaisia, ja reitittimen vientisivun pitäisi antaa yksi tiedosto laitetta kohden eikä yhtä tiedostoa koko kotitaloudelle.
Tarkista tarkka toteutus ennen kuin sitoudut
Netgaten dokumentaatio VPN-roolin valinnasta erottaa roolit tällä tavalla, ja kannattaa lukea laiteohjelmistosi vastaava sivu sen sijaan että päättelet välilehtien nimistä. Etsi kolme konkreettista seikkaa: mitä protokollia asiakas osaa puhua, tukeeko palvelin protokollaa, jota laitteesi käyttävät, ja kattaako reitityskäytäntö lähdeosoitteet, kokonaiset liittymät vai ei mitään.
Katso sitten tukirajaa. Kuluttajareititin, jossa on asiakasvälilehti mutta ei käytäntöluetteloa, lähettää jokaisen laitteen tunnelin kautta, mikä sopii suoratoistolaitteelle ja on väärin työkannettavalle, joka tarvitsee toimiston tunnelin. Reititin, jossa on palvelinvälilehti mutta yksi jaettu profiili, on kohtuullinen laboratoriotyökalu ja huono valinta perheelle, koska yhden laitteen peruuttaminen tarkoittaa kaikkien asetusten muuttamista.
Valitse rooli sen mukaan, mistä liikenne alkaa
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Käy valittu rivi läpi alusta loppuun ennen kuin muutat mitään muuta. Ota rooli käyttöön, yhdistä yksi asiakas, vahvista osoite, jona se näkyy, vahvista mitä nimipalvelinta se käyttää ja vahvista paluureitti vastakkaiseen suuntaan. Jos reitittimessä on myös palomuurisivu, tarkista, ettei uutta liittymää estä oletussääntö, joka on kirjoitettu silloin, kun tunnelia ei ollut.
Kun molemmat roolit ovat saatavilla ja vaatimus on aidosti molemmat, aja ne erillisinä ominaisuuksina erillisellä dokumentaatiolla. Yksi reititin voi soittaa ulos televisiota varten ja ottaa samanaikaisesti vastaan puhelinyhteyden NASiin, mutta kahden käytännön ei pidä jakaa aliverkkoa, DNS-asetusta tai palomuurivyöhykettä, muuten ensimmäinen muutos, jonka teet toiselle, rikkoo toisen.