ブリッジモードはVPNパススルーではない：それぞれが変えるもの

ブリッジモードとVPNパススルーが同じトラブルシューティングのスレッドで語られるのは、どちらも接続しないVPNへの対処として提示されるからです。両者はルーターの異なる機能を指しており、どちらも単独ではVPNトンネルを作りません。ブリッジ化は機器がネットワークセグメントにどう加わるか、あるいは誰がルーティングを行うかを変えます。パススルーは、クライアントのVPN通信がゲートウェイを通過できるかを決めます。選び方を間違えると、小さな問題が半日がかりのアドレス再設定になります。

二つの名前、二つの異なる機能

テストは単純です。ネットワークの形を変えたいのか、すでに存在する通信を通したいのか。これは別の要求であり、結果も異なります。

比較を一つの表にまとめます。

ルーター上でトンネルを作るのは最後の二つだけです。ブリッジ化もパススルーも端点を別の場所に残すため、クライアントの不在やサーバーへの到達不能が原因の問題はどちらも直せません。設定が同じ画面の近くに並んでいるため、この区別は失われがちです。その画面を開く前に、どちらの端点がトンネルを持つのかを書き留めてください。

パススルーのチェックボックスも、プロトコル対応の完全な説明ではありません。現代のIPsecにおけるNAT越えは標準化されたUDPカプセル化を使いますが、古い補助機能の挙動は実装ごとに異なります。

VPN対応と書かれたマーケティング表記は、この四つの役割のどれを指すのかを教えてくれません。

ブリッジモードが機器で変えるもの

モデムやルーターでは、ブリッジの項目は通常ルーティングとNATの責務を下流の別のゲートウェイへ移します。ソフトウェア機器では、選択したローカルインターフェースを一つのブロードキャストドメインにまとめることを意味することがあります。正確な範囲は製品によって異なるため、言葉ではなく機種の資料を読んでください。どちらの解釈でも、アドレスの割り当て、ファイアウォールの境界、管理画面への到達経路が変わります。

だからこそ、ブリッジ化はVPNの不調に対する最初の一手として不適切です。元の問題が未解決のまま、管理経路を失うことがあります。

ネットワークの役割を変える前に設定のバックアップを取ってください。アドレッシングが一緒に動くことがあります。

設定より先に役割を選ぶ

家庭内の通信を外部の出口から出すには、対応するルーターのVPNクライアントが必要で、ブリッジではありません。別の場所から自宅に接続するには、サーバーの役割と、そこへ到達できる上流の経路が必要です。この二つの要件には、VPNという言葉以外にほとんど共通点がありません。メニューを見る前に、どちらを作るのかを決めてください。

機器が両方の役割を支えていても、必要な役割を期待する速度で支えないことはあります。

役割は設計上の判断であり、設定はその結果です。

一つのプロトコルだけが失敗する場合

他は動作しているルーターの背後で一つのプロトコルだけが失敗するなら、まずそのプロトコルの転送とNATの経路を調べます。一つのクライアントを直すためにゲートウェイのモード全体を変えるのは、電球が切れたから家の配線を引き直すようなものです。通信がUDPでカプセル化されているか、ルーターの補助機能がそのプロトコルに当てはまるか、失敗が対称かを確認します。そのうえで、役割の変更が本当に妥当かを判断してください。

RFC 3948 は、IPsecがNATを越えるためのUDPカプセル化を説明しており、パススルーのチェックボックスを信じる前に確認すべき標準です。

何をなぜ変えたのかを記録してください。次の人は機器がブリッジモードになっているのを見て、意図的だったと考えるでしょう。正しい結果は、自分で選んだ形のネットワークであり、トラブルシューティングの副産物として引き継いだものではありません。