Ponsel tertinggal di luar VPN? Tunnel router atau klien per perangkat

Laptop terhubung ke VPN, ponsel berada di Wi-Fi yang sama, dan ponsel tetap menjelajah dari alamat ISP. Ini bukan bug klien: tunnel hidup di mesin yang mengakhirinya, dan tidak ada yang lain mewarisinya karena kedekatan. Cakupan hanya menyebar ketika router sendiri menjalankan klien, atau ketika sebuah mesin sengaja dijadikan gateway untuk LAN. Model mana yang Anda inginkan ditentukan oleh tiga hal: protokol yang benar-benar dipakai penyedia Anda, seberapa berbeda perangkat perlu diperlakukan, dan kegagalan apa yang bisa Anda terima pada pukul sembilan malam.

Apa yang sebenarnya dicakup tunnel router

Ketika tunnel berakhir di router, setiap perangkat yang merutekan melaluinya berbagi jalan keluar. Itulah daya tariknya bagi televisi, konsol, atau peralatan yang tidak akan pernah menjalankan klien: tidak ada yang perlu dipasang, tidak ada yang perlu diperbarui, dan satu tempat untuk mengganti penyedia.

Cakupan bersifat bersyarat dengan cara yang mengejutkan orang. Jaringan tamu atau SSID kedua dengan kebijakannya sendiri mengikuti jalur yang ditentukan kebijakan itu, bukan tunnel. Jalur IPv6 dapat melewati tunnel yang hanya membawa IPv4. Perangkat dengan aplikasi VPN sendiri atau resolver terenkripsinya sendiri sepenuhnya mengabaikan router. Dan lalu lintas router sendiri, termasuk pembaruan dan DNS, mengikuti kebijakan keluarnya, yang merupakan jalur berbeda dari lalu lintas LAN yang diteruskan.

Pemeriksaannya sama pada kedua model dan memakan satu menit: tanyakan kepada dua perangkat alamat apa yang dilihat dunia, lalu lihat daftar koneksi router untuk tunnel. Jika ponsel melaporkan alamat ISP sementara router menunjukkan tunnel yang terbentuk, ponsel tidak dirutekan melaluinya, dan tidak ada penyambungan ulang yang mengubahnya.

Di mana klien per perangkat menang

Klien per perangkat menang begitu kebutuhan mulai berbeda. Laptop kerja mungkin memerlukan tunnel korporat yang tidak boleh diikuti ponsel; klien penyedia mungkin menawarkan tunnel terpisah per aplikasi, yang tidak dapat diungkapkan router; konsol mungkin harus tetap di luar untuk mempertahankan tipe NAT-nya. Setiap perangkat juga gagal sendiri-sendiri, sehingga satu langganan kedaluwarsa tidak membisukan seluruh rumah.

Kredensial adalah argumen yang lebih tajam. Router yang terhubung atas nama semua orang memegang satu akun, dan setiap orang di jaringan itu mewarisi aksesnya. Jika tujuannya adalah autentikasi per orang sebelum akses internet, tunnel router saja tidak bisa melakukannya. Desain yang lazim adalah portal captive yang memvalidasi akun lalu melepaskan klien ke tunnel yang sudah terbentuk, yang merupakan lebih banyak bagian bergerak daripada yang diinginkan sebagian besar rumah.

Dukungan protokol menentukan lebih banyak kasus daripada preferensi

Router konsumen hanya mengekspos protokol yang dikirim produsen. Router dengan PPTP, L2TP, atau IPsec biasa tidak dapat terhubung ke penyedia yang hanya menerbitkan profil OpenVPN atau WireGuard, dan tidak ada konfigurasi yang mengubahnya. Pilihan jujurnya adalah penyedia yang berbicara protokol yang didukung, router dengan OpenWrt atau firmware lain dengan klien yang Anda butuhkan, atau klien di setiap perangkat.

Kasus sebaliknya sama umumnya: router yang mampu OpenVPN tidak dapat menggunakan penyedia yang layanannya bergantung pada klien milik sendiri dan trik peruteannya sendiri. Baca halaman protokol yang didukung penyedia sebelum membeli perangkat keras, dan periksa versi firmware, karena «mendukung WireGuard» di halaman produk sering berarti satu generasi firmware tertentu.

Router perjalanan dengan klien WireGuard adalah versi murah dari model router dan jawaban yang wajar untuk beberapa perangkat yang tidak dapat menjalankan klien. Ini masih tunnel router, jadi semua di atas tentang jaringan tamu, IPv6, dan kegagalan bersama berlaku tanpa perubahan.

Opsi ketiga: mesin sebagai gateway

Berbagi klien dari laptop adalah mungkin, dan itulah yang biasanya dimaksud orang ketika mengatakan mereka mengubah laptop menjadi router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Ini berfungsi sampai mesin tidur, klien tersambung ulang ke profil lain, atau firewall mesin itu sendiri membuang paket yang diteruskan. Kemudian semua yang di belakangnya kehilangan konektivitas sekaligus, dan kegagalannya tampak seperti jaringan mati alih-alih masalah VPN.

Untuk laboratorium atau pengaturan sementara itu tidak masalah. Sebagai pengaturan permanen, ini menjadikan satu laptop satu-satunya titik kegagalan rumah tangga, dan biasanya berakhir dengan seseorang bertanya-tanya mengapa televisi berhenti bekerja ketika tutupnya ditutup.

Port masuk, DNS, dan kegagalan yang dibagi

Layanan masuk bergerak bersama tunnel. VPN di router biasanya merusak penerusan port untuk server LAN, dan nama DNS dinamis harus menunjuk ke jalan keluar VPN, bukan ke alamat ISP, jika layanan harus dapat dijangkau melalui tunnel. Beberapa penyedia tidak menawarkan alamat masuk yang dapat dirutekan sama sekali, yang diam-diam mengakhiri setiap rencana yang bergantung padanya.

DNS mengikuti router ketika router memiliki tunnel, yang nyaman sampai satu perangkat membutuhkan resolver lain. Klien per perangkat dapat mengungkapkannya; kebijakan router tidak bisa tanpa membelah jaringan menjadi dua. Kegagalannya juga dibagi, karena satu crash, satu langganan kedaluwarsa, atau satu rute buruk yang didorong memutus setiap perangkat pada saat yang sama.

Pilih model router ketika perangkat tidak dapat menjalankan klien dan satu jalan keluar dapat diterima. Pilih klien per perangkat ketika kebijakan berbeda, ketika penyedia memerlukan protokol yang tidak dimiliki router, atau ketika akun tidak boleh dibagikan. Jika sebuah mesin adalah gateway, catat antarmuka mana yang berbagi jaringan mana dan uji kasus «tunnel mati», karena itulah keadaan di mana sebagian besar desain ini ternyata salah.