Verificate il ruolo client del router prima di importare un profilo VPN

Una pagina di specifiche con un logo VPN dice che la scatola sa fare qualcosa con le VPN. Non dice che il firmware può agire come client per il protocollo nel file che avete in mano. Sono capacità diverse con requisiti diversi, e il divario tra loro è dove la maggior parte di questi acquisti sbaglia. Verificate il ruolo prima del marchio.

Quattro controlli trasformano un elenco di funzioni in una risposta.

Un logo VPN non è una dichiarazione di capacità

I router pubblicizzano il supporto VPN in almeno tre sensi: il pass-through per il traffico di altri dispositivi, un server che accetta tunnel in ingresso e un client che avvia un tunnel in uscita. Solo il terzo consuma il profilo scaricato. Il pass-through IPsec in particolare è un ausilio NAT e non un endpoint, e compare su dispositivi che non possono terminare né avviare IPsec.

Chiedete quale ruolo richiede il file, poi chiedete se quel ruolo esiste nella versione di firmware del dispositivo.

Leggete l'elenco delle funzioni del firmware che eseguite davvero

I nomi dei modelli non sono versioni di firmware, e una guida scritta per la versione principale precedente descrive un altro insieme di funzioni. Su OpenWrt la domanda si risolve da una shell: opkg list-installed | grep -E "openvpn|wireguard" mostra se i pacchetti client sono presenti, e il modulo kernel di WireGuard è separato dagli strumenti in spazio utente. Su un dispositivo di un produttore, leggete le note di rilascio della build installata invece della pagina marketing del modello.

Se la capacità arriva come pacchetto, confermate che sia installato e non solo disponibile nel repository.

Abbinate il formato del profilo all'importatore

Un profilo OpenVPN è un linguaggio di direttive. Un file peer WireGuard è un INI con una chiave privata e un elenco di IP consentiti. Le credenziali IKEv2 sono un certificato o un nome utente più un'identità server. Un modulo del router che accetta uno di questi non tradurrà gli altri, e un pulsante di importazione che dichiara di accettare tutto merita sospetto.

Aprite il file e leggete le prime dieci righe. Questo vi dice quale importatore serve prima di qualsiasi menu.

Controllate le opzioni che il profilo usa davvero

Il supporto del protocollo non è il supporto del vostro profilo. Guardate le direttive che portano le proprietà di sicurezza: certificati inline, tls-crypt o tls-auth, scelte di cifratura e cifratura dei dati, compressione e ganci di script. Un'implementazione del router può accettare il file e ignorare in silenzio una direttiva che non implementa, producendo un tunnel che si connette e si comporta diversamente da quello sul vostro portatile.

Il risultato pericoloso non è un'importazione rifiutata. È un'importazione accettata che ha lasciato cadere qualcosa in silenzio.

Provate la politica, non solo la stretta di mano

Decidete cosa deve trasportare la connessione: un segmento o ogni dispositivo, quale resolver DNS, se IPv6 entra nel tunnel o resta locale, e cosa succede quando il tunnel cade. Sono funzioni separate dall'instaurazione, ed è qui che un router si differenzia di più da un client desktop. Tenete raggiungibile l'amministrazione locale durante i test, altrimenti il primo errore di routing vi costa l'accesso fisico.

Una stretta di mano completata è l'inizio della verifica. Inviate traffico reale a una destinazione reale e controllate il percorso di ritorno.