ルーターのVPNクライアントとサーバーモード：それぞれ何を可能にするか

ルーターにログインしてVPNページを開くと、同じ機能を二度説明したように見える二つのタブがあります。一方はどこか別の場所からプロファイルファイルを求め、もう一方は証明書を生成してポートを選ぶよう求めます。これは一つの設定の二つの見方ではありません。一方の役割はルーターに外へ発信させ、もう一方は応答させます。そして一台の機器が両方をこなせても、片方がもう片方を助けるわけではありません。どちらかを有効にする前に、メニューを読み、自分がどちら側かを判断する方法を説明します。

VPNメニューを開いて役割の名前を読みます

トグルではなくセクションの見出しから始めます。クライアントまたは「VPNサービスに接続」というタブは、インポートしたプロファイル、設定ファイル、または他の誰かが発行した資格情報のセットを想定しています。サーバーというタブは、IDを作成し、プロトコルとポートを選び、通常は接続する各機器にプロファイルをエクスポートすることを想定しています。

箱のマーケティング文句は、メニューがそれと一致するまで未確認として扱います。「VPN対応」は、クライアント、サーバー、ルーターの背後の機器にパケットを転送するだけのプロトコル通過ヘルパー、または標準プロファイルをまったく持たない独自のリモートアクセスアプリを意味することがあります。これらのケースを区別するのはファームウェアのドキュメントだけで、ステッカーの型番は区別しません。

クライアントモード：あなたのLANが他人の出口から外へ出ます

クライアントモードでは、ルーターはVPNアプリを動かすノートPCのように振る舞います。互換性のあるプロトコル、遠隔の事業者からのプロファイルまたは資格情報、そしてどの下流の機器がトンネルを使うかというルーティングの判断が必要です。多くのファームウェアはポリシーリストを提供し、トンネル経由で送る送信元アドレスやインターフェースを指定し、残りは通常の接続に残します。

静かに失敗するのは遠隔側です。接続するエンドポイントは、あなたの代わりにインターネット通信を転送し、戻り経路を提供する必要があり、それはプロバイダー側のポリシーであって、あなたのルーターの設定ではありません。サーバーモードしか提供しないメニューは、どう設定してもこの外向きのサービスを構築できません。また、拠点間リンクだけをサポートするプロバイダーは、トンネルを正常に接続できても、そこを通して送るものすべてを破棄することがあります。

次に、トンネルがDNSをどう扱うかを確認します。プロファイルがリゾルバーを押し込む場合、ルーターはそのリゾルバーを下流のクライアントに渡すべきです。そうしない場合、クライアントはプロバイダーのリゾルバーを使い続け、パケットは内側を通るのに名前解決はトンネルの外で行われます。接続したノートPCからの簡単な確認：IPエコーのページで見えるアドレスが出口であり、使用中のリゾルバーのアドレスがトンネルが提供したものであるべきです。

サーバーモード：誰かがあなたのLANにやって来ます

サーバーモードは向きを逆にします。ルーターが待ち受け、移動先の機器が接続し、ルーターがその接続でどの家庭内リソースに届けるかを決めます。NAS、実験用マシン、プリンターに欲しいのはこの役割で、クライアントの役割にはない前提条件があります。外側の何かが待ち受け側に到達できなければなりません。

その前提条件で、ほとんどの家庭の設定が行き詰まります。ルーターがプロバイダー自身のゲートウェイの背後にある場合、VPNポートをそのゲートウェイから転送するか、ルーターをブリッジまたはDMZモードにする必要があります。キャリアグレードNATの背後には転送できる受信ポートがまったくないため、設計を変える必要があります。ルーターから中継サーバー、ホストされたエンドポイント、メッシュ製品への外向きトンネルです。到達できないサーバーは設定ミスではなく、到達不能なのです。

IDも役割によって異なります。すべてを有料の出口へ送る家庭のクライアントプロファイルは一つの共有シークレットですが、三台のスマートフォンと一台のノートPCを受け入れるサーバーには、個別に失効できる四つのIDが必要です。証明書と鍵は機器ごとであり、ルーターのエクスポートページは家庭に一つのファイルではなく、機器ごとに一つのファイルを渡すべきです。

決める前に正確な実装を確認します

NetgateによるVPN役割の選び方のドキュメントは、役割をこのように分けており、タブ名から推測するのではなく、自分のファームウェアに相当するページを読む価値があります。三つの具体的な事実を探します。クライアントが話せるプロトコル、サーバーがあなたの機器の使うプロトコルをサポートするか、ルーティングポリシーが送信元アドレス、インターフェース全体、それとも何もカバーしないかです。

次にサポートの境界を見ます。クライアントタブはあるがポリシーリストがない消費者向けルーターは、すべての機器をトンネル経由で送ります。これはストリーミングボックスには向いていますが、オフィスのトンネルを必要とする仕事用ノートPCには不適切です。サーバータブはあるが共有プロファイルが一つだけのルーターは、実験用としては妥当ですが家族には不適切です。一台を失効させるのに全員の設定を変える必要があるからです。

トラフィックがどこで始まるかで役割を選びます

ほかを変更する前に、選んだ行を最初から最後までたどります。役割を有効にし、クライアントを一台接続し、それが現れるアドレスを確認し、使っているリゾルバーを確認し、逆方向の戻り経路を確認します。ルーターにファイアウォールのページもある場合、トンネルが存在しなかった頃に書かれた既定のルールで新しいインターフェースが遮断されていないか確認します。

両方の役割が利用でき、要件が本当に両方である場合は、別々のドキュメントを持つ別々の機能として運用します。一台のルーターがテレビのために外へ発信し、同時にNASへのスマートフォン接続を受け入れることはできますが、二つのポリシーがサブネット、DNS設定、ファイアウォールゾーンを共有してはいけません。さもないと、片方のために行った最初の変更がもう片方を壊します。