VPN-kliens az útválasztón vagy kiszolgáló mód: melyik mit tesz lehetővé

Belépsz az útválasztóra, megnyitod a VPN oldalt, és két lapot találsz, amelyek ugyanannak a funkciónak a kétszeri leírásaként hatnak: az egyik profilfájlt kér máshonnan, a másik azt kéri, hogy hozz létre tanúsítványokat és válassz portot. Nem egy beállítás két nézete. Az egyik szerep kifelé tárcsázásra készteti az útválasztót, a másik válaszadásra, és egyetlen eszköz mindkettőt tudja, anélkül hogy az egyik segítené a másikat. Így olvasd a menüt, és így döntsd el, melyik oldalon állsz, mielőtt bármit engedélyeznél.

Nyisd meg a VPN menüt, és olvasd el a szerepek nevét

Kezdd a szakaszcímekkel, ne a kapcsolókkal. Az ügyfél vagy „csatlakozás VPN-szolgáltatáshoz” feliratú lap importált profilt, konfigurációs fájlt vagy valaki más által kiadott hitelesítő adatkészletet vár. A kiszolgáló feliratú lap azt várja, hogy létrehozd az identitásokat, válassz protokollt és portot, és általában profilba exportáld minden csatlakozó eszközhöz.

A dobozon lévő marketingmondatot tekintsd igazolatlannak, amíg a menü nem igazolja. A „VPN-támogatás” jelenthet klienst, kiszolgálót, protokollátjáró segédet, amely csak továbbítja a csomagokat az útválasztó mögötti eszköznek, vagy saját távoli hozzáférésű alkalmazást mindenféle szabványos profil nélkül. Csak a firmware-dokumentáció különbözteti meg ezeket az eseteket, a matricán lévő modellszám nem.

Kliens mód: a LAN-od valaki más kimenetén keresztül lép ki

Kliens módban az útválasztó úgy viselkedik, mint egy VPN-alkalmazást futtató laptop. Kompatibilis protokollra, a távoli szolgáltatótól származó profilra vagy hitelesítő adatokra, valamint arra a forgalomirányítási döntésre van szüksége, hogy mely alsóbb eszközök használják az alagutat. Sok firmware kínál házirendlistát, ahol megnevezed az alagúton átküldendő forrás-címeket vagy interfészeket, a többit pedig a normál kapcsolaton hagyod.

A csendesen meghiúsuló rész a távoli oldal. A végpontnak, amelyhez csatlakozol, továbbítania kell az internetes forgalmat a nevedben, és visszautat kell biztosítania, ez pedig a szolgáltatónál érvényes szabály, nem a te útválasztód beállítása. A csak kiszolgáló módot kínáló menü nem tudja felépíteni ezt a kifelé irányuló szolgáltatást, akárhogy konfigurálják, és a csak telephelyek közötti kapcsolatokat támogató szolgáltató sikeresen csatlakoztathatja az alagutat, miközben eldobja mindazt, amit rajta keresztül küldesz.

Ezután ellenőrizd, hogyan kezeli az alagút a DNS-t. Ha a profil felkínál egy feloldót, az útválasztónak tovább kell adnia azt az alsóbb klienseknek; ha nem teszi, a kliensek továbbra is a szolgáltató feloldóját használják, és az alagúton kívül oldják fel a neveket, pedig a csomagok belül mennek. Gyors ellenőrzés egy csatlakoztatott laptopról: az IP-visszhang oldalon látott címnek a kimenetnek kell lennie, és a használt feloldócímnek annak kell lennie, amelyet az alagút adott.

Kiszolgáló mód: valaki más érkezik a LAN-odba

A kiszolgáló mód megfordítja az irányt. Az útválasztó figyel, az utazó eszköz csatlakozik, majd az útválasztó eldönti, hogy az a kapcsolat mely otthoni erőforrásokat érheti el. Ez az a szerep, amelyet NAS-hoz, laboratóriumi géphez vagy nyomtatóhoz szeretnél, és van egy előfeltétele, amely a kliensszerepnek nincs: valaminek kívülről el kell érnie a figyelőt.

Ezen az előfeltételen akad el a legtöbb otthoni beállítás. Ha az útválasztó a szolgáltató saját átjárója mögött van, a VPN-portot arról az átjáróról kell továbbítani, vagy az útválasztót híd- vagy DMZ-módba kell tenni. Szolgáltatói szintű NAT mögött egyáltalán nincs bejövő port, amelyet továbbítani lehetne, ezért a tervezést meg kell változtatni: kifelé irányuló alagút az útválasztótól egy reléhez, egy hosztolt végponthoz vagy egy mesh termékhez. Egy kiszolgáló, amelyet nem lehet elérni, nincs rosszul konfigurálva, hanem elérhetetlen.

Az identitások is szerepenként különböznek. Az a háztartási kliensprofil, amely mindent fizetett kimenetre küld, egyetlen közös titok, míg a három telefont és egy laptopot beengedő kiszolgálónak négy identitás kell, amelyeket külön-külön visszavonhatsz. A tanúsítványok és kulcsok eszközönkéntiek, és az útválasztó exportoldala eszközönként egy fájlt adjon, ne egy fájlt az egész háztartásnak.

Ellenőrizd a pontos megvalósítást, mielőtt elkötelezed magad

A Netgate dokumentációja a VPN-szerep kiválasztásáról így választja szét a szerepeket, és érdemes elolvasni a firmware-edhez tartozó megfelelő oldalt ahelyett, hogy a lapok nevéből következtetnél. Keress három konkrét tényt: milyen protokollokon tud beszélni a kliens, támogatja-e a kiszolgáló az eszközeid által használt protokollt, és lefedi-e az útválasztási házirend a forrás-címeket, a teljes interfészeket vagy semmit.

Utána nézd meg a támogatási határt. Egy fogyasztói útválasztó klienslappal, de házirendlista nélkül minden eszközt az alagúton küld, ami jó egy streamingdoboznak, és rossz egy munkalaptopnak, amelynek az irodai alagút kell. Egy útválasztó kiszolgálólappal, de egyetlen közös profillal ésszerű laboratóriumi eszköz, és rossz választás egy családnak, mert egy eszköz visszavonása mindenki konfigurációjának módosítását jelenti.

A szerepet aszerint válaszd, hol indul a forgalom

Járd végig a kiválasztott sort elejétől a végéig, mielőtt bármi mást módosítasz. Engedélyezd a szerepet, csatlakoztass egy klienst, erősítsd meg a címet, amelyen megjelenik, erősítsd meg, melyik feloldót használja, és erősítsd meg a visszautat az ellenkező irányban. Ha az útválasztónak tűzfalszoldala is van, ellenőrizd, hogy az új interfészt nem blokkolja-e egy alapértelmezett szabály, amelyet akkor írtak, amikor az alagút még nem létezett.

Amikor mindkét szerep elérhető, és az igény valóban mindkettő, futtasd őket külön funkciókként, külön dokumentációval. Egy útválasztó tárcsázhat kifelé a televízióhoz, és közben fogadhat telefont a NAS felé, de a két házirend nem oszthat meg alhálózatot, DNS-beállítást vagy tűzfalzónát, különben az egyikért tett első módosítás elrontja a másikat.