Le mode pont n'est pas le passthrough VPN : ce que chacun change
Le mode pont change le rôle de transfert du routeur ; le passthrough laisse seulement passer le VPN d'un client. Aucun des deux ne crée de tunnel, ils ne sont donc pas interchangeables.
Le mode pont et le passthrough VPN apparaissent dans le même fil de dépannage parce que les deux sont proposés comme remède à un VPN qui ne se connecte pas. Ils décrivent des fonctions différentes du routeur, et aucun des deux ne crée de tunnel VPN à lui seul. Le pontage modifie la manière dont un appareil rejoint des segments réseau ou qui assure le routage ; le passthrough décide si le trafic VPN d'un client peut franchir une passerelle. Le mauvais choix transforme un petit problème en un après-midi entier de readressage.
Deux étiquettes, deux fonctions différentes
Le test est simple : cherchez-vous à changer la forme du réseau ou à laisser passer un trafic qui existe déjà ? Ce sont deux demandes différentes aux conséquences différentes.
La comparaison en un tableau :
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Seuls les deux derniers créent un tunnel sur le routeur. Le pontage et le passthrough laissent tous deux le point de terminaison ailleurs, ce qui explique qu'aucun ne puisse corriger un problème dû à un client manquant ou à un serveur injoignable. Cette distinction se perd facilement parce que les réglages sont voisins dans la même interface. Notez quel point de terminaison possède le tunnel avant d'ouvrir cette page.
Une case passthrough n'est pas non plus une description complète de la prise en charge des protocoles. Le franchissement NAT moderne d'IPsec utilise une encapsulation UDP normalisée, tandis que les anciennes fonctions d'assistance ont un comportement propre à chaque implémentation.
Une étiquette marketing qui annonce la prise en charge du VPN ne dit pas lequel de ces quatre rôles elle désigne.
Ce que le mode pont change sur votre appareil
Sur un modem ou un routeur, l'option pont déplace généralement les responsabilités de routage et de NAT vers une autre passerelle en aval. Sur un appareil logiciel, elle peut signifier regrouper des interfaces locales choisies dans un seul domaine de diffusion. La portée exacte dépend du produit : lisez la documentation du modèle et non celle du mot. Les deux interprétations changent l'attribution des adresses, les limites du pare-feu et la façon dont vous accédez à l'administration.
C'est précisément pourquoi le pontage est une mauvaise première réponse à une panne de VPN. Vous pouvez perdre le chemin d'administration alors que le problème d'origine n'est toujours pas résolu.
Conservez une sauvegarde de la configuration avant de changer le rôle du réseau, car l'adressage peut suivre.
Choisissez le rôle avant le réglage
Pour faire sortir le trafic du foyer par une sortie externe, il vous faut un client VPN de routeur compatible, pas un pont. Pour vous reconnecter chez vous depuis ailleurs, il vous faut le rôle serveur et un chemin amont capable de l'atteindre. Ces deux exigences n'ont presque rien en commun au-delà du mot VPN. Décidez ce que vous construisez avant de regarder un menu.
Un appareil peut prendre en charge les deux rôles et ne pas prendre en charge celui dont vous avez besoin au débit que vous attendez.
Le rôle est une décision de conception ; le réglage en est une conséquence.
Si un seul protocole échoue
Quand un protocole échoue derrière un routeur qui fonctionne par ailleurs, examinez d'abord le transport et le chemin NAT de ce protocole. Changer tout le mode de la passerelle pour réparer un seul client revient à recâbler une maison parce qu'une lampe est cassée. Vérifiez si le trafic est encapsulé en UDP, si la fonction d'assistance du routeur concerne ce protocole et si la panne est symétrique. Décidez ensuite si un changement de rôle est réellement justifié.
RFC 3948 décrit l'encapsulation UDP qui permet à IPsec de survivre au NAT, et c'est la norme à vérifier avant de faire confiance à une case passthrough.
Notez ce que vous avez changé et pourquoi, car la personne suivante trouvera l'appareil en mode pont et supposera que c'était volontaire. Le bon résultat est un réseau dont vous avez choisi la forme, pas celui dont vous avez hérité d'une session de dépannage.