VPNプロファイルをインポートする前にルーターのクライアント機能を確認する

VPNロゴのある仕様ページは、その機器がVPNで何かできることを示しています。手元のファイルのプロトコルに対して、ファームウェアがクライアントとして動けるかは示していません。これらは要件の異なる別の機能であり、その隙間がこうした購入の多くが失敗する場所です。ブランドより先に役割を確認してください。

四つの確認で機能一覧は答えになります。

VPNロゴは機能の証明ではない

ルーターはVPN対応を少なくとも三つの意味で宣伝します。他の機器からの通信を通すパススルー、受信するトンネルを受け付けるサーバー、外向きのトンネルを開始するクライアントです。あなたがダウンロードしたプロファイルを使うのは三つ目だけです。特にIPsecのパススルーはNATの補助であり端点ではなく、IPsecを終端も開始もできない機器にも表示されます。

ファイルがどの役割を必要とするかを尋ね、次にその役割が端末のファームウェア版に存在するかを尋ねてください。

実際に動かしているファームウェアの機能一覧を読む

型番はファームウェアの版ではなく、前のメジャーリリース向けに書かれた解説は別の機能群を説明しています。OpenWrtならシェルから答えられます。opkg list-installed | grep -E "openvpn|wireguard" はクライアントのパッケージがあるかを示し、WireGuardのカーネルモジュールはユーザー空間のツールとは別です。ベンダー製の機器では、型番の宣伝ページではなく、インストール済みビルドのリリースノートを読んでください。

機能がパッケージとして提供される場合は、リポジトリにあるだけでなく、インストール済みであることを確認してください。

プロファイル形式をインポーターに合わせる

OpenVPNのプロファイルは指示子の言語です。WireGuardのピアファイルは秘密鍵と許可IPの一覧を持つINIです。IKEv2の資格情報は証明書、またはユーザー名とサーバー識別子です。そのうち一つを受け付けるルーターのフォームは他を変換せず、何でも受け付けるとうたうインポートボタンは疑ってかかるべきです。

ファイルを開き、最初の十行を読んでください。どのインポーターが必要かは、どのメニューよりも先にそれで分かります。

プロファイルが実際に使うオプションを確認する

プロトコルへの対応は、あなたのプロファイルへの対応ではありません。セキュリティ特性を担う指示子を見てください。インライン証明書、tls-crypt や tls-auth、暗号とデータ暗号の選択、圧縮、スクリプトフックです。ルーターの実装はファイルを受け取り、実装していない指示子を黙って無視することがあり、その結果、接続はするが手元のノートPCのトンネルとは挙動が異なるトンネルになります。

危険な結果は拒否されたインポートではありません。何かを黙って落としたまま受け付けられたインポートです。

ハンドシェイクだけでなくポリシーを試す

接続が何を運ぶべきかを決めます。一つのセグメントか全機器か、どのDNSリゾルバーか、IPv6をトンネルに入れるかローカルに残すか、トンネルが落ちたときに何が起きるかです。これらは確立とは別の機能であり、ルーターがデスクトップのクライアントと最も異なる点です。試験中はローカル管理に到達できるようにしておいてください。さもないと最初の経路ミスで物理的なアクセスを失います。

完了したハンドシェイクは検証の始まりです。実際の宛先に実際の通信を送り、戻り経路を確認してください。