Telefoan bûten de VPN? Routertunnel tsjin klant per apparaat

De laptop is ferbûn mei de VPN, de telefoan sit op deselde Wi-Fi, en de telefoan surft dochs fan it ISP-adres. Dat is gjin klantflater: in tunnel libbet op 'e masine dy't him beëiniget, en nimmen oars erft him troch tichtbyens. De dekking ferspriedt him allinnich as de router sels de klant draait, of as in masine mei opsetsin ta gateway foar it LAN makke wurdt. Hokker model jo wolle, bepale trije dingen: it protokol dat jo provider echt sprekt, hoe ferskillend de apparaten behannele wurde moatte, en hokker flater jo om njoggen oere jûns ferneare kinne.

Wat in routertunnel eins dekt

As de tunnel op 'e router einiget, diele alle apparaten dy't dertroch route de útgong. Dat is de oantreklikens foar in televyzje, in console of in apparaat dat nea in klant draaie sil: neat te ynstallearjen, neat by te hâlden en ien plak om fan provider te feroarjen.

De dekking is betingst op manieren dy't minsken ferrasse. In gastnetwurk of in twadde SSID mei eigen belied folget it paad dat dat belied bepaalt, net de tunnel. In IPv6-paad kin in tunnel omgean dy't allinnich IPv4 draacht. In apparaat mei in eigen VPN-app of in eigen fersifere resolver negeart de router folslein. En it eigen ferkear fan 'e router, updates en DNS ynbegrepen, folget syn útgongsbelied, dat in oar paad is as it trochstjoerde ferkear fan it LAN.

De kontrôle is yn beide modellen itselde en duorret in minút: freegje twa apparaten hokker adres de wrâld sjocht, en sjoch dan yn 'e ferbiningslist fan 'e router nei de tunnel. As de telefoan it ISP-adres rapportearret wylst de router in festige tunnel toant, wurdt de telefoan der net troch route, en gjin opnij ferbinen sil dat feroarje.

Wêr't in klant per apparaat wint

Klanten per apparaat winne sa gau't de easken útinoar rinne. In wurklaptop hat miskien in bedriuwstunnel nedich dêr't de telefoan net by mei dwaan mei; in providerklant biedt miskien split-tunneling per applikaasje, wat in router net útdrukke kin; in console moat miskien bûten bliuwe om syn NAT-type te behâlden. Elk apparaat falt ek op himsels út, sadat ien ferfalle abonnemint net it hiele hûs stil makket.

Ynlochgegevens binne it skerpere argumint. In router dy't foar elkenien ferbynt, hâldt ien akkount, en elk persoan op dat netwurk erft de tagong. As de bedoeling autentikaasje per persoan foar ynternettagong is, kin in routertunnel allinnich dat net dwaan. It gewoane ûntwerp is in captive portal dy't it akkount falidearret en de klant dan yn in al festige tunnel lit, wat mear beweechbere dielen is as de measte huzen wolle.

Protokolstipe beslút mear gefallen as foarkar

Konsuminterouterers biede allinnich de protokollen dy't de fabrikant mei joech. In router mei PPTP, L2TP of gewoane IPsec kin net ferbine mei in provider dy't allinnich OpenVPN of WireGuard-profilen publisearret, en gjin konfiguraasje feroaret dat. De earlike opsjes binne in provider dy't in stipe protokol sprekt, in router mei OpenWrt of oare firmware mei de klant dy't jo nedich hawwe, of in klant op elk apparaat.

It omkearde gefal is like gewoan: in OpenVPN-geskikte router kin gjin provider brûke waans tsjinst fan in eigen klant en eigen routingtruken ôfhinget. Lês de side fan 'e provider oer stipe protokollen foardat jo hardware keapje, en kontrolearje de firmwareferzje, want 'stipet WireGuard' op in produktpagina betsjut faak ien spesifike firmwaregeneraasje.

In reisrouter mei WireGuard-klant is de goedkeape ferzje fan it routermodel, en it is in ridlik antwurd foar in hantsjefol apparaten dy't gjin klant draaie kinne. It is noch altyd in routertunnel, dus alles hjirboppe oer gastnetwurken, IPv6 en dielde falen jildt ûnferoare.

De tredde opsje: in masine as gateway

In klant fan in laptop diele kin, en dat bedoele minsken meastentiids mei it omfoarmjen fan 'e laptop ta router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

It wurket oant de masine sliept, de klant opnij ferbynt yn in oar profyl, of de eigen firewall fan 'e masine trochstjoerde pakketten falle lit. Dan ferliest alles efter it tagelyk ferbining, en de flater liket in dea netwurk ynstee fan in VPN-probleem.

Foar in lab of in tydlike opset is it goed. As permaninte regeling makket it ien laptop it iennige flaterpunt foar in húshâlding, en it einiget meastentiids mei immen dy't him ôffreget wêrom't de televyzje ophold te wurkjen doe't in deksel ticht gie.

Ynkommende poarten, DNS en de flater dy't jo diele

Ynkommende tsjinsten bewege mei de tunnel. In router-VPN brekt meastentiids port-forwarding foar in LAN-tsjinner, en in dynamyske DNS-namme moat nei de VPN-útgong wize ynstee fan nei it ISP-adres as de tsjinst troch de tunnel berikber wêze moat. Guon providers biede hielendal gjin routeber ynkommend adres, wat elk plan dat op ien boude stil beëiniget.

DNS folget de router as de router de tunnel besit, wat handich is oant ien apparaat in oare resolver nedich hat. In klant per apparaat kin dat útdrukke; in routerbelied kin dat net sûnder it netwurk yn twaen te dielen. De flater wurdt ek dield, want ien crash, ien ferfalle abonnemint of ien minne pushte rûte ûntkoppelt elk apparaat op itselde momint.

Kies it routermodel as de apparaten gjin klanten draaie kinne en ien útgong akseptabel is. Kies klanten per apparaat as it belied ferskilt, as de provider in protokol nedich hat dat de router mist, of as it akkount net dield wurde mei. As in masine de gateway is, skriuw dan op hokker ynterface hokker netwurk dielt en test it gefal 'tunnel del', want dat is de tastân wêryn't de measte fan dizze ûntwerpen ferkeard blike te wêzen.