La modalità bridge non è il pass-through VPN: cosa cambia ciascuno
La modalità bridge cambia il ruolo di inoltro del router; il pass-through lascia solo passare il VPN di un client. Nessuno dei due crea un tunnel, quindi non sono intercambiabili.
La modalità bridge e il pass-through VPN compaiono nello stesso thread di risoluzione problemi perché entrambi vengono proposti come rimedio a un VPN che non si connette. Descrivono funzioni diverse del router e nessuno dei due crea da solo un tunnel VPN. Il bridging cambia il modo in cui un dispositivo si unisce ai segmenti di rete o chi esegue l'instradamento; il pass-through decide se il traffico VPN di un client può attraversare un gateway. La scelta sbagliata trasforma un piccolo problema in un intero pomeriggio di riassegnazione degli indirizzi.
Due etichette, due funzioni diverse
Il test è semplice: stai cercando di cambiare la forma della rete o di lasciar passare un traffico che già esiste? Sono richieste diverse con conseguenze diverse.
Il confronto in una tabella:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Solo gli ultimi due creano un tunnel sul router. Bridging e pass-through lasciano entrambi il punto terminale altrove, per questo nessuno dei due può risolvere un problema causato da un client mancante o da un server irraggiungibile. Questa distinzione si perde facilmente perché le impostazioni sono vicine nella stessa interfaccia. Annota quale punto terminale possiede il tunnel prima di aprire quella pagina.
Anche una casella di pass-through non è una descrizione completa del supporto ai protocolli. L'attraversamento NAT moderno di IPsec usa un incapsulamento UDP standardizzato, mentre le vecchie funzioni di supporto hanno un comportamento specifico dell'implementazione.
Un'etichetta commerciale che dichiara il supporto VPN non dice a quale di questi quattro ruoli si riferisce.
Cosa cambia la modalità bridge sul tuo dispositivo
Su un modem o un router, l'opzione bridge di solito sposta le responsabilità di instradamento e NAT su un altro gateway a valle. Su un dispositivo software può significare unire interfacce locali selezionate in un unico dominio di broadcast. La portata esatta dipende dal prodotto, quindi leggi la documentazione del modello e non quella della parola. Entrambe le interpretazioni cambiano l'assegnazione degli indirizzi, i confini del firewall e il modo in cui raggiungi l'amministrazione.
È proprio per questo che il bridging è una cattiva prima risposta a un guasto VPN. Puoi perdere il percorso di gestione mentre il problema originale resta irrisolto.
Conserva un backup della configurazione prima di cambiare il ruolo della rete, perché l'indirizzamento può spostarsi con esso.
Scegli il ruolo prima dell'impostazione
Per far uscire il traffico di casa da un'uscita esterna, ti serve un client VPN del router compatibile, non un bridge. Per riconnetterti a casa da un altro luogo, ti servono il ruolo server e un percorso a monte che riesca a raggiungerlo. Questi due requisiti non hanno quasi nulla in comune oltre alla parola VPN. Decidi cosa stai costruendo prima di guardare un menu.
Un dispositivo può supportare entrambi i ruoli e comunque non supportare quello che ti serve alla velocità che ti aspetti.
Il ruolo è una decisione di progetto; l'impostazione ne è una conseguenza.
Se fallisce un solo protocollo
Quando un protocollo fallisce dietro un router che per il resto funziona, esamina prima il trasporto e il percorso NAT di quel protocollo. Cambiare l'intera modalità del gateway per riparare un solo client equivale a ricablare una casa perché una lampada si è rotta. Controlla se il traffico è incapsulato in UDP, se la funzione di supporto del router riguarda quel protocollo e se il guasto è simmetrico. Poi decidi se un cambio di ruolo è davvero giustificato.
RFC 3948 descrive l'incapsulamento UDP che permette a IPsec di sopravvivere al NAT, ed è lo standard da verificare prima di fidarsi di una casella di pass-through.
Annota cosa hai cambiato e perché, perché la persona successiva troverà il dispositivo in modalità bridge e presumerà che sia stato deliberato. Il risultato corretto è una rete di cui hai scelto la forma, non una ereditata da una sessione di risoluzione problemi.