Kimaradt a telefon a VPN-ből? Router-alagút vagy kliens eszközönként

A laptop csatlakozik a VPN-hez, a telefon ugyanazon a Wi-Fi-n van, és a telefon mégis az ISP-címről böngészik. Ez nem klienshiba: az alagút azon a gépen él, amely lezárja, és semmi más nem örökli a közelség miatt. A lefedettség csak akkor terjed ki, ha a router maga futtatja a klienst, vagy ha egy gépet szándékosan a LAN átjárójává tesznek. Hogy melyik modellt akarja, három dolog dönti el: a protokoll, amelyet a szolgáltatója valóban beszél, mennyire eltérően kell kezelni az eszközöket, és milyen hibát tud elviselni este kilenckor.

Mit fed le valójában egy router-alagút

Amikor az alagút a routeren végződik, minden eszköz, amely rajta keresztül forgalmat irányít, osztozik a kimeneten. Ez a vonzerő a televízió, a konzol vagy egy olyan készülék esetében, amely soha nem futtat klienst: nincs mit telepíteni, nincs mit naprakészen tartani, és egy helyen lehet szolgáltatót váltani.

A lefedettség olyan módokon feltételes, amelyek meglepik az embereket. A vendéghálózat vagy egy második SSID saját szabályzattal azt az útvonalat követi, amelyet a szabályzat meghatároz, nem az alagutat. Az IPv6-os útvonal megkerülhet egy alagutat, amely csak IPv4-et szállít. Egy saját VPN-alkalmazással vagy saját titkosított feloldóval rendelkező eszköz teljesen figyelmen kívül hagyja a routert. És a router saját forgalma, a frissítésekkel és a DNS-sel együtt, a saját kimeneti szabályzatát követi, amely más útvonal, mint a LAN továbbított forgalma.

Az ellenőrzés mindkét modellben ugyanaz, és egy percet vesz igénybe: kérdezzen meg két eszközt, milyen címet lát a világ, majd nézze meg a router kapcsolatlistájában az alagutat. Ha a telefon az ISP-címet jelenti, miközben a router létrehozott alagutat mutat, a telefon nem azon keresztül irányul, és ezen semmilyen újracsatlakozás nem változtat.

Ahol az eszközönkénti kliens nyer

Az eszközönkénti kliensek nyernek, amint a követelmények szétválnak. Egy munkalaptopnak vállalati alagútra lehet szüksége, amelyhez a telefon nem csatlakozhat; a szolgáltatói kliens alkalmazásonkénti osztott alagutat kínálhat, amit a router nem tud kifejezni; a konzolnak kívül kell maradnia, hogy megőrizze NAT-típusát. Minden eszköz külön is meghibásodik, így egy lejárt előfizetés nem némítja el az egész házat.

A hitelesítő adatok az élesebb érv. Az a router, amely mindenki nevében csatlakozik, egy fiókot tart, és a hálózat minden embere örökli a hozzáférését. Ha a szándék a személyenkénti hitelesítés az internet-hozzáférés előtt, egy router-alagút önmagában nem képes rá. A szokásos megoldás egy captive portal, amely érvényesíti a fiókot, majd beereszti a klienst egy már létrehozott alagútba, ami több mozgó alkatrész, mint amennyit a legtöbb otthon akar.

A protokolltámogatás több esetet dönt el, mint a preferencia

A fogyasztói routerek csak azokat a protokollokat kínálják, amelyeket a gyártó szállított. Egy PPTP-t, L2TP-t vagy egyszerű IPsec-et kínáló router nem tud csatlakozni olyan szolgáltatóhoz, amely csak OpenVPN vagy WireGuard profilokat tesz közzé, és ezen semmilyen beállítás nem változtat. Az őszinte lehetőségek: olyan szolgáltató, amely támogatott protokollt beszél, OpenWrt-t vagy más firmware-t futtató router a szükséges klienssel, vagy kliens minden eszközön.

A fordított eset ugyanilyen gyakori: az OpenVPN-képes router nem használhat olyan szolgáltatót, amelynek szolgáltatása saját kliensétől és saját útvonal-trükkjeitől függ. Olvassa el a szolgáltató támogatott protokollokról szóló oldalát, mielőtt hardvert vásárol, és ellenőrizze a firmware verzióját, mert a termékoldalon szereplő „támogatja a WireGuardot“ gyakran egy konkrét firmware-generációt jelent.

A WireGuard-klienssel ellátott utazórouter a routermodell olcsó változata, és ésszerű válasz arra a néhány eszközre, amely nem tud klienst futtatni. Ez még mindig router-alagút, ezért a vendéghálózatokról, az IPv6-ról és a közös hibáról fent elmondottak változatlanul érvényesek.

A harmadik lehetőség: egy gép mint átjáró

Egy kliens megosztása laptopról lehetséges, és az emberek általában erre gondolnak, amikor a laptopot routerré alakítják.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Addig működik, amíg a gép el nem alszik, a kliens át nem csatlakozik egy másik profilra, vagy a gép saját tűzfala el nem dobja a továbbított csomagokat. Akkor minden mögötte egyszerre veszíti el a kapcsolatot, és a hiba halott hálózatnak tűnik, nem VPN-problémának.

Laboratóriumnak vagy ideiglenes beállításnak rendben van. Állandó megoldásként egy laptopot tesz egy háztartás egyetlen meghibásodási pontjává, és általában azzal végződik, hogy valaki azon tűnődik, miért állt le a televízió, amikor egy fedél becsukódott.

Bejövő portok, DNS és a közös hiba

A bejövő szolgáltatások az alagúttal együtt mozognak. A routeres VPN általában elrontja a porttovábbítást egy LAN-szerverhez, és a dinamikus DNS-névnek a VPN kimenetére kell mutatnia, nem az ISP-címre, ha a szolgáltatásnak az alagúton keresztül elérhetőnek kell lennie. Egyes szolgáltatók egyáltalán nem kínálnak irányítható bejövő címet, ami csendesen lezár minden tervet, amely egy ilyenre épült.

A DNS követi a routert, ha a router birtokolja az alagutat, ami kényelmes addig, amíg egy eszköznek másik feloldóra nincs szüksége. Az eszközönkénti kliens ezt ki tudja fejezni; egy router-szabályzat nem tudja anélkül, hogy kettéosztaná a hálózatot. A hiba is közös, mert egy összeomlás, egy lejárt előfizetés vagy egy rossz betolt útvonal ugyanabban a pillanatban bontja a kapcsolatot minden eszköznél.

Válassza a routermodellt, ha az eszközök nem tudnak klienseket futtatni, és egyetlen kimenet elfogadható. Válassza az eszközönkénti klienseket, ha a szabályzatok eltérnek, ha a szolgáltatónak olyan protokoll kell, amely a routernél nincs, vagy ha a fiókot nem szabad megosztani. Ha egy gép az átjáró, írja fel, melyik interfész melyik hálózatot osztja meg, és tesztelje az „alagút le“ esetet, mert ebben az állapotban bizonyulnak a legtöbb ilyen terv hibásnak.