לקוח VPN בנתב מול מצב שרת: מה כל אחד מאפשר
תפקיד אחד של הנתב שולח את התעבורה שלך ליציאה מרוחקת, השני מכניס אותך חזרה פנימה. קרא את התפריטים, את פרטי ההתחברות ואת נתיב החזרה לפני שתפעיל אחד מהם.
אתם מתחברים לנתב, פותחים את דף ה-VPN ומגלים שתי לשוניות שנראות כמו אותה תכונה שמתוארת פעמיים: האחת רוצה קובץ פרופיל ממקום אחר, השנייה רוצה שתיצרו אישורים ותבחרו פורט. אלה לא שני מבטים של הגדרה אחת. תפקיד אחד גורם לנתב לחייג החוצה, והשני גורם לו להשיב, ומכשיר אחד יכול לעשות את שניהם בלי שאחד יעזור לשני. כך קוראים את התפריט ומחליטים באיזה צד אתם לפני שמפעילים משהו.
פתחו את תפריט ה-VPN וקראו את שמות התפקידים
התחילו מכותרות הסעיפים ולא מהמתגים. לשונית שכותרתה לקוח או “התחברות לשירות VPN” מצפה לפרופיל מיובא, לקובץ תצורה או לרצף פרטי התחברות שהונפקו בידי מישהו אחר. לשונית שכותרתה שרת מצפה שתיצרו את הזהויות, תבחרו פרוטוקול ופורט, ובדרך כלל תייצאו פרופיל לכל מכשיר שיתחבר.
התייחסו לשורת השיווק על הקופסה כאל לא מאומתת עד שהתפריט יתאים לה. “תמיכת VPN” יכולה להיות לקוח, שרת, עוזר העברת פרוטוקול שמעביר רק מנות למכשיר שמאחורי הנתב, או אפליקציית גישה מרחוק קניינית בלי שום פרופיל תקני. רק תיעוד הקושחה מבחין בין המקרים האלה, ומספר הדגם שעל המדבקה לא.
מצב לקוח: הרשת המקומית שלכם יוצאת דרך היציאה של מישהו אחר
במצב לקוח הנתב מתנהג כמו מחשב נייד שמריץ אפליקציית VPN. הוא זקוק לפרוטוקול תואם, לפרופיל או לפרטי התחברות מהמפעיל המרוחק, ולהחלטת ניתוב לגבי אילו מכשירים בהמשך משתמשים במנהרה. קושחות רבות מציעות רשימת מדיניות שבה אתם נוקבים בכתובות המקור או בממשקים שצריכים להישלח דרך המנהרה ומשאירים את השאר בחיבור הרגיל.
החלק שנכשל בשקט הוא הצד המרוחק. נקודת הקצה שאליה אתם מתחברים חייבת להעביר עבורכם תעבורת אינטרנט ולספק נתיב חזרה, וזו מדיניות אצל הספק, לא הגדרה בנתב שלכם. תפריט שמציע רק מצב שרת לא יכול לבנות את השירות החוצה הזה, לא משנה איך יגדירו אותו, וספק שתומך רק בקישורים בין אתרים יכול לחבר את המנהרה בהצלחה ובכל זאת להשליך את כל מה שתשלחו דרכה.
לאחר מכן בדקו איך המנהרה מטפלת ב-DNS. אם הפרופיל דוחף פותר, הנתב אמור למסור את הפותר הזה ללקוחות בהמשך; אם לא, הלקוחות ממשיכים להשתמש בפותר של ספק האינטרנט ומתירים שמות מחוץ למנהרה למרות שהמנות עוברות בפנים. בדיקה מהירה ממחשב נייד מחובר: הכתובת שאתם רואים בדף הד IP אמורה להיות היציאה, וכתובת הפותר שבשימוש אמורה להיות זו שהמנהרה סיפקה.
מצב שרת: מישהו אחר מגיע לרשת המקומית שלכם
מצב שרת הופך את הכיוון. הנתב מקשיב, המכשיר הנוסע מתחבר, ואז הנתב מחליט לאילו משאבי בית החיבור הזה רשאי להגיע. זה התפקיד שאתם רוצים ל-NAS, למכונת מעבדה או למדפסת, ויש לו תנאי מוקדם שאין לתפקיד הלקוח: משהו מבחוץ חייב להיות מסוגל להגיע למאזין.
בתנאי המוקדם הזה נתקעות רוב ההתקנות הביתיות. אם הנתב יושב מאחורי השער של ספק האינטרנט עצמו, יש להעביר את פורט ה-VPN מהשער הזה, או להעביר את הנתב למצב גשר או DMZ. מאחורי NAT בדרגת ספק אין בכלל פורט נכנס להעביר, ולכן התכנון חייב להשתנות: מנהרה יוצאת מהנתב לממסר, לנקודת קצה מתארחת או למוצר רשת. שרת שאי אפשר להגיע אליו אינו מוגדר לא נכון, הוא בלתי נגיש.
גם הזהויות נבדלות לפי תפקיד. פרופיל לקוח ביתי ששולח הכול ליציאה בתשלום הוא סוד משותף אחד, ואילו שרת שמקבל שלושה טלפונים ומחשב נייד זקוק לארבע זהויות שאפשר לבטל בנפרד. אישורים ומפתחות הם לכל מכשיר, ודף הייצוא של הנתב אמור לתת לכם קובץ אחד לכל מכשיר ולא קובץ אחד לכל הבית.
בדקו את המימוש המדויק לפני שאתם מתחייבים
התיעוד של Netgate לבחירת תפקיד VPN מפריד בין התפקידים בדרך הזאת, וכדאי לקרוא את העמוד המקביל לקושחה שלכם במקום להסיק משמות הלשוניות. חפשו שלוש עובדות קונקרטיות: אילו פרוטוקולים הלקוח יכול לדבר, אם השרת תומך בפרוטוקול שהמכשירים שלכם משתמשים בו, ואם מדיניות הניתוב מכסה כתובות מקור, ממשקים שלמים או כלום.
לאחר מכן הסתכלו על גבול התמיכה. נתב צרכני עם לשונית לקוח אבל בלי רשימת מדיניות ישלח כל מכשיר דרך המנהרה, וזה בסדר לקופסת סטרימינג ולא נכון למחשב נייד לעבודה שזקוק למנהרת המשרד. נתב עם לשונית שרת אבל פרופיל משותף יחיד הוא כלי מעבדה סביר ובחירה גרועה למשפחה, כי ביטול של מכשיר אחד פירושו לשנות את התצורה של כולם.
בחרו את התפקיד לפי המקום שבו התעבורה מתחילה
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
עברו את השורה שנבחרה מתחילתה ועד סופה לפני שתשנו משהו אחר. הפעילו את התפקיד, חברו לקוח אחד, אשרו את הכתובת שבה הוא מופיע, אשרו באיזה פותר הוא משתמש, ואשרו את נתיב החזרה בכיוון ההפוך. אם לנתב יש גם דף חומת אש, בדקו שהממשק החדש לא חסום על ידי כלל ברירת מחדל שנכתב כשהמנהרה עוד לא הייתה קיימת.
כששני התפקידים זמינים והדרישה היא באמת שניהם, הפעילו אותם כתכונות נפרדות עם תיעוד נפרד. נתב אחד יכול לחייג החוצה בשביל הטלוויזיה ולקבל במקביל חיבור טלפון ל-NAS, אבל שתי המדיניות לא חייבות לחלוק תת-רשת, הגדרת DNS או אזור חומת אש, אחרת השינוי הראשון שתעשו בשביל האחת ישבור את האחרת.