Vérifiez le rôle client du routeur avant d'importer un profil VPN

Une page de spécifications avec un logo VPN dit que la box sait faire quelque chose avec les VPN. Elle ne dit pas que le firmware peut agir comme client pour le protocole du fichier que vous tenez. Ce sont des capacités différentes avec des exigences différentes, et l'écart entre les deux est là où la plupart de ces achats tournent mal. Vérifiez le rôle avant la marque.

Quatre vérifications transforment une liste de fonctionnalités en réponse.

Un logo VPN n'est pas une déclaration de capacité

Les routeurs annoncent la prise en charge VPN dans au moins trois sens : le pass-through pour le trafic d'autres appareils, un serveur qui accepte les tunnels entrants, et un client qui initie un tunnel sortant. Seul le troisième consomme le profil que vous avez téléchargé. Le pass-through IPsec en particulier est un assistant NAT et non un point de terminaison, et il apparaît sur des appareils incapables de terminer ou d'initier IPsec.

Demandez quel rôle le fichier exige, puis demandez si ce rôle existe dans la version de firmware de l'appareil.

Lisez la liste des fonctionnalités du firmware que vous exécutez réellement

Les noms de modèle ne sont pas des versions de firmware, et un guide écrit pour la version majeure précédente décrit un autre ensemble de fonctionnalités. Sur OpenWrt, la question se tranche depuis un shell : opkg list-installed | grep -E "openvpn|wireguard" montre si les paquets client sont présents, et le module noyau WireGuard est distinct des outils en espace utilisateur. Sur un appareil constructeur, lisez les notes de version du build installé plutôt que la page marketing du modèle.

Si la capacité arrive sous forme de paquet, confirmez qu'il est installé et pas seulement disponible dans le dépôt.

Faites correspondre le format du profil à l'importateur

Un profil OpenVPN est un langage de directives. Un fichier pair WireGuard est un INI avec une clé privée et une liste d'IP autorisées. Les identifiants IKEv2 sont un certificat ou un nom d'utilisateur plus une identité de serveur. Un formulaire de routeur qui accepte l'un ne traduira pas les autres, et un bouton d'import qui prétend tout accepter mérite la méfiance.

Ouvrez le fichier et lisez les dix premières lignes. Cela vous dit quel importateur il vous faut avant même un menu.

Vérifiez les options que le profil utilise vraiment

La prise en charge du protocole n'est pas la prise en charge de votre profil. Regardez les directives qui portent les propriétés de sécurité : certificats en ligne, tls-crypt ou tls-auth, choix de chiffrement et de chiffrement des données, compression et crochets de script. Une implémentation de routeur peut accepter le fichier et ignorer silencieusement une directive qu'elle n'implémente pas, ce qui donne un tunnel qui se connecte et se comporte différemment de celui de votre portable.

Le résultat dangereux n'est pas un import refusé. C'est un import accepté qui a discrètement laissé tomber quelque chose.

Testez la politique, pas seulement la poignée de main

Décidez ce que la connexion doit transporter : un segment ou chaque appareil, quel résolveur DNS, si IPv6 entre dans le tunnel ou reste local, et ce qui se passe quand le tunnel tombe. Ce sont des fonctionnalités distinctes de l'établissement, et c'est là qu'un routeur diffère le plus d'un client de bureau. Gardez l'administration locale accessible pendant les tests, sinon la première erreur de routage vous coûte l'accès physique.

Une poignée de main terminée est le début de la vérification. Envoyez du trafic réel vers une destination réelle et vérifiez le chemin de retour.