VPN klijent na usmjerivaču nasuprot poslužiteljskom načinu: što svaki omogućuje
Jedna uloga usmjerivača šalje tvoj promet na udaljeni izlaz, druga te pušta unutra. Pročitaj izbornike, vjerodajnice i povratnu putanju prije nego što uključiš bilo koju.
Prijaviš se na usmjerivač, otvoriš stranicu VPN-a i nađeš dvije kartice koje izgledaju kao ista značajka opisana dvaput: jedna traži datoteku profila odnekud drugdje, druga traži da generiraš certifikate i odabereš port. To nisu dva prikaza jedne postavke. Jedna uloga tjera usmjerivač da zove prema van, druga ga tjera da odgovara, i jedan uređaj može raditi oboje, a da jedno ne pomaže drugome. Evo kako čitati izbornik i odlučiti na kojoj si strani prije nego što bilo što uključiš.
Otvori izbornik VPN-a i pročitaj nazive uloga
Počni naslovima odjeljaka, a ne prekidačima. Kartica označena kao klijent ili „poveži se na VPN uslugu“ očekuje uvezeni profil, konfiguracijsku datoteku ili skup vjerodajnica koje je izdao netko drugi. Kartica označena kao poslužitelj očekuje da stvoriš identitete, odabereš protokol i port i obično izvezeš profil za svaki uređaj koji će se povezati.
Tretiraj marketinški redak na kutiji kao nepotvrđen dok mu izbornik ne odgovara. „VPN podržan“ može značiti klijent, poslužitelj, pomoćnik za propuštanje protokola koji samo prosljeđuje pakete uređaju iza usmjerivača, ili vlasničku aplikaciju za daljinski pristup bez ikakvog standardnog profila. Samo dokumentacija firmvera razlikuje te slučajeve, a broj modela na naljepnici ne.
Način klijenta: tvoj LAN izlazi kroz tuđi izlaz
U načinu klijenta usmjerivač se ponaša kao prijenosnik s VPN aplikacijom. Potreban mu je kompatibilan protokol, profil ili vjerodajnice od udaljenog operatera i odluka o usmjeravanju koji će uređaji nizvodno koristiti tunel. Mnogi firmveri nude popis pravila u kojem imenuješ izvorne adrese ili sučelja koja treba slati kroz tunel, a ostale ostavljaš na normalnoj vezi.
Dio koji tiho pada jest udaljena strana. Krajnja točka na koju se povezuješ mora za tebe prosljeđivati internetski promet i osigurati povratnu putanju, a to je pravilo kod pružatelja usluge, ne postavka na tvom usmjerivaču. Izbornik koji nudi samo poslužiteljski način ne može izgraditi ovu izlaznu uslugu bez obzira na to kako je konfiguriran, a pružatelj koji podržava samo veze lokacija-lokacija može uspješno povezati tunel, ali odbacivati sve što kroz njega pošalješ.
Zatim provjeri kako tunel rukuje DNS-om. Ako profil gura razrješivač, usmjerivač bi trebao taj razrješivač predati klijentima nizvodno; ako ne, klijenti nastavljaju koristiti razrješivač pružatelja interneta i razrješavaju imena izvan tunela iako paketi idu unutra. Brza provjera s povezanog prijenosnika: adresa koju vidiš na stranici IP odjeka trebala bi biti izlaz, a adresa razrješivača koja se koristi trebala bi biti ona koju je tunel dostavio.
Način poslužitelja: netko drugi dolazi u tvoj LAN
Poslužiteljski način obrće smjer. Usmjerivač sluša, putni uređaj se povezuje, a zatim usmjerivač odlučuje kojim domaćim resursima ta veza smije pristupiti. To je uloga koju želiš za NAS, laboratorijski stroj ili pisač, i ima uvjet koji klijentska uloga nema: nešto izvana mora moći doći do slušača.
Na tom uvjetu zapinje većina kućnih postavki. Ako usmjerivač stoji iza pružateljevog vlastitog pristupnika, VPN port se mora proslijediti s tog pristupnika ili se usmjerivač mora postaviti u bridge ili DMZ način. Iza carrier-grade NAT-a nema nikakvog ulaznog porta za prosljeđivanje, pa se dizajn mora promijeniti: izlazni tunel od usmjerivača do releja, hostirane krajnje točke ili mesh proizvoda. Poslužitelj do kojeg se ne može doći nije pogrešno konfiguriran, on je nedostupan.
Identiteti se također razlikuju po ulozi. Kućni klijentski profil koji sve šalje na plaćeni izlaz jedna je zajednička tajna, dok poslužitelj koji prima tri telefona i prijenosnik treba četiri identiteta koja možeš opozvati zasebno. Certifikati i ključevi su po uređaju, a stranica za izvoz na usmjerivaču trebala bi ti dati jednu datoteku po uređaju, a ne jednu datoteku za cijelo kućanstvo.
Provjeri točnu implementaciju prije nego što se obvežeš
Netgate dokumentacija o odabiru VPN uloge razdvaja uloge na ovaj način i vrijedi pročitati ekvivalentnu stranicu za svoj firmver umjesto zaključivanja iz naziva kartica. Traži tri konkretne činjenice: koje protokole klijent može govoriti, podržava li poslužitelj protokol koji koriste tvoji uređaji i pokriva li pravilo usmjeravanja izvorne adrese, cijela sučelja ili ništa.
Zatim pogledaj granicu podrške. Potrošački usmjerivač s karticom klijenta, ali bez popisa pravila, poslat će svaki uređaj kroz tunel, što je u redu za streaming kutiju, a pogrešno za radni prijenosnik kojem treba uredski tunel. Usmjerivač s karticom poslužitelja, ali jednim zajedničkim profilom, razuman je laboratorijski alat i loš izbor za obitelj, jer opoziv jednog uređaja znači mijenjanje konfiguracije svih.
Odaberi ulogu prema tome gdje promet počinje
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Prođi odabrani redak od početka do kraja prije nego što promijeniš bilo što drugo. Uključi ulogu, poveži jednog klijenta, potvrdi adresu pod kojom se pojavljuje, potvrdi koji razrješivač koristi i potvrdi povratnu putanju u suprotnom smjeru. Ako usmjerivač ima i stranicu vatrozida, provjeri da novo sučelje nije blokirano zadanim pravilom napisanim kad tunel nije postojao.
Kada su dostupne obje uloge i zahtjev je doista za obje, pokreni ih kao odvojene značajke s odvojenom dokumentacijom. Jedan usmjerivač može zvati prema van za televizor i istovremeno prihvaćati telefonsku vezu s NAS-om, ali ta dva pravila ne smiju dijeliti podmrežu, DNS postavku ili zonu vatrozida, inače će prva promjena koju napraviš za jedno pokvariti drugo.