फ़ोन VPN से बाहर क्यों? राउटर टनल या हर डिवाइस पर क्लाइंट

लैपटॉप VPN से जुड़ा है, फ़ोन उसी Wi-Fi पर है, और फ़ोन फिर भी ISP पते से ब्राउज़ कर रहा है। यह क्लाइंट की गड़बड़ नहीं है: टनल उस मशीन पर रहती है जो उसे खत्म करती है, और निकटता से कोई और उसे विरासत में नहीं पाता। कवरेज तभी फैलता है जब राउटर खुद क्लाइंट चलाए, या जब किसी मशीन को जान-बूझकर LAN के लिए गेटवे बना दिया जाए। आपको कौन-सा मॉडल चाहिए, यह तीन बातें तय करती हैं: आपका प्रदाता असल में कौन-सा प्रोटोकॉल बोलता है, डिवाइसों के साथ कितना अलग व्यवहार चाहिए, और रात नौ बजे आप कौन-सी विफलता सह सकते हैं।

राउटर टनल असल में क्या कवर करती है

जब टनल राउटर पर खत्म होती है, तो जो भी डिवाइस उससे होकर रूट होता है वह एक ही एग्ज़िट साझा करता है। टीवी, कंसोल या ऐसे उपकरण के लिए यही आकर्षण है जो कभी क्लाइंट नहीं चलाएगा: कुछ इंस्टॉल नहीं करना, कुछ अपडेट नहीं रखना, और प्रदाता बदलने की एक ही जगह।

कवरेज कुछ ऐसे तरीकों से सशर्त है जो लोगों को चौंकाते हैं। गेस्ट नेटवर्क या अपनी नीति वाला दूसरा SSID उसी रास्ते पर जाता है जो नीति तय करती है, टनल पर नहीं। IPv6 का रास्ता ऐसी टनल से बच सकता है जो केवल IPv4 ले जाती है। अपना VPN ऐप या अपना एन्क्रिप्टेड रिज़ॉल्वर रखने वाला डिवाइस राउटर को पूरी तरह अनदेखा करता है। और राउटर का अपना ट्रैफ़िक, अपडेट और DNS समेत, उसकी आउटपुट नीति का पालन करता है, जो LAN के फॉरवर्ड किए गए ट्रैफ़िक से अलग रास्ता है।

जाँच दोनों मॉडलों में एक जैसी है और एक मिनट लेती है: दो डिवाइसों से पूछें कि दुनिया को कौन-सा पता दिखता है, फिर राउटर की कनेक्शन सूची में टनल देखें। अगर फ़ोन ISP पता बता रहा है जबकि राउटर स्थापित टनल दिखा रहा है, तो फ़ोन उससे रूट नहीं हो रहा, और कोई भी दोबारा कनेक्ट करना इसे नहीं बदलेगा।

हर डिवाइस पर क्लाइंट कहाँ जीतता है

हर डिवाइस पर क्लाइंट तभी जीतते हैं जब ज़रूरतें अलग-अलग हो जाती हैं। काम का लैपटॉप ऐसी कॉर्पोरेट टनल माँग सकता है जिसमें फ़ोन न जुड़े; प्रदाता का क्लाइंट ऐप-वार स्प्लिट टनल दे सकता है, जिसे राउटर व्यक्त नहीं कर सकता; कंसोल को अपना NAT प्रकार बनाए रखने के लिए बाहर रहना पड़ सकता है। हर डिवाइस अलग से भी विफल होता है, इसलिए एक खत्म हुई सदस्यता पूरे घर को खामोश नहीं करती।

क्रेडेंशियल सबसे तीखी दलील है। जो राउटर सबकी ओर से जुड़ता है वह एक ही खाता रखता है, और उस नेटवर्क का हर व्यक्ति उसका एक्सेस विरासत में पाता है। अगर इरादा इंटरनेट एक्सेस से पहले हर व्यक्ति का प्रमाणीकरण है, तो अकेली राउटर टनल यह नहीं कर सकती। आम डिज़ाइन कैप्टिव पोर्टल है जो खाता सत्यापित करता है और फिर क्लाइंट को पहले से स्थापित टनल में छोड़ देता है, जो ज़्यादातर घरों की चाह से ज़्यादा चलते पुर्ज़े हैं।

प्रोटोकॉल समर्थन पसंद से ज़्यादा मामले तय करता है

कंज़्यूमर राउटर केवल वही प्रोटोकॉल दिखाते हैं जो निर्माता ने दिए। PPTP, L2TP या सादा IPsec वाला राउटर ऐसे प्रदाता से नहीं जुड़ सकता जो केवल OpenVPN या WireGuard प्रोफ़ाइल प्रकाशित करता है, और कोई कॉन्फ़िगरेशन इसे नहीं बदलता। ईमानदार विकल्प हैं ऐसा प्रदाता जो समर्थित प्रोटोकॉल बोले, OpenWrt या दूसरे फ़र्मवेयर वाला राउटर जिसमें ज़रूरी क्लाइंट हो, या हर डिवाइस पर क्लाइंट।

उलटा मामला भी उतना ही आम है: OpenVPN-सक्षम राउटर ऐसे प्रदाता का उपयोग नहीं कर सकता जिसकी सेवा अपने मालिकाना क्लाइंट और उसकी अपनी रूटिंग तरकीबों पर निर्भर हो। हार्डवेयर खरीदने से पहले प्रदाता का समर्थित-प्रोटोकॉल पेज पढ़ें और फ़र्मवेयर संस्करण जाँचें, क्योंकि उत्पाद पेज पर «WireGuard समर्थित» का अर्थ अक्सर एक खास फ़र्मवेयर पीढ़ी होता है।

WireGuard क्लाइंट वाला ट्रैवल राउटर राउटर मॉडल का सस्ता रूप है और उन गिने-चुने डिवाइसों के लिए ठीक जवाब है जो क्लाइंट नहीं चला सकते। यह फिर भी राउटर टनल है, इसलिए गेस्ट नेटवर्क, IPv6 और साझा विफलता पर ऊपर कही बातें बिना बदलाव लागू होती हैं।

तीसरा विकल्प: एक मशीन गेटवे के रूप में

लैपटॉप से क्लाइंट साझा करना संभव है, और लोग आमतौर पर यही मतलब रखते हैं जब कहते हैं कि उन्होंने लैपटॉप को राउटर बना दिया।

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

यह तब तक चलता है जब तक मशीन सो न जाए, क्लाइंट दूसरी प्रोफ़ाइल में दोबारा न जुड़ जाए, या मशीन का अपना फ़ायरवॉल फॉरवर्ड किए गए पैकेट न गिरा दे। तब उसके पीछे का सब कुछ एक साथ कनेक्टिविटी खो देता है, और विफलता VPN समस्या नहीं बल्कि मृत नेटवर्क जैसी दिखती है।

किसी लैब या अस्थायी सेटअप के लिए यह ठीक है। स्थायी व्यवस्था के तौर पर यह एक लैपटॉप को पूरे घर की एकमात्र विफलता-बिंदु बना देता है, और आमतौर पर यह सवाल पर खत्म होता है कि ढक्कन बंद होने पर टीवी क्यों बंद हो गया।

इनबाउंड पोर्ट, DNS और साझा विफलता

इनबाउंड सेवाएँ टनल के साथ चलती हैं। राउटर पर VPN आमतौर पर LAN सर्वर के लिए पोर्ट फॉरवर्डिंग तोड़ देता है, और अगर सेवा टनल से पहुँचनी है तो डायनामिक DNS नाम को ISP पते के बजाय VPN एग्ज़िट की ओर इशारा करना चाहिए। कुछ प्रदाता ऐसा रूटेबल इनबाउंड पता ही नहीं देते, जो उस पर टिकी हर योजना को चुपचाप खत्म कर देता है।

DNS राउटर का पीछा करता है जब राउटर के पास टनल हो, जो तब तक सुविधाजनक है जब तक किसी एक डिवाइस को दूसरा रिज़ॉल्वर न चाहिए। हर डिवाइस पर क्लाइंट इसे व्यक्त कर सकता है; राउटर नीति नेटवर्क को दो हिस्सों में बाँटे बिना नहीं कर सकती। विफलता भी साझा होती है, क्योंकि एक क्रैश, एक खत्म हुई सदस्यता या एक खराब धकेली गई रूट एक ही पल में हर डिवाइस को काट देती है।

राउटर मॉडल चुनें जब डिवाइस क्लाइंट न चला सकें और एक ही एग्ज़िट स्वीकार्य हो। हर डिवाइस पर क्लाइंट चुनें जब नीतियाँ अलग हों, जब प्रदाता को ऐसा प्रोटोकॉल चाहिए जो राउटर में न हो, या जब खाता साझा न किया जाना चाहिए। अगर मशीन ही गेटवे है, तो लिख लें कि कौन-सा इंटरफ़ेस कौन-सा नेटवर्क साझा करता है और «टनल बंद» वाली स्थिति जाँचें, क्योंकि इनमें से ज़्यादातर डिज़ाइन उसी हालत में गलत साबित होते हैं।