ტელეფონი VPN-ის გარეთ დარჩა? როუტერის გვირაბი თუ კლიენტი თითოეულ მოწყობილობაზე

ლეპტოპი დაკავშირებულია VPN-თან, ტელეფონი იმავე Wi-Fi-შია და ტელეფონი მაინც ISP-ის მისამართიდან ბრაუზავს. ეს კლიენტის შეცდომა არ არის: გვირაბი ცხოვრობს მანქანაში, რომელიც მას ამთავრებს და სხვა ვერაფერი მემკვიდრეობით იღებს მას სიახლოვის გამო. დაფარვა ვრცელდება მხოლოდ მაშინ, როცა როუტერი თავად უშვებს კლიენტს, ან როცა მანქანა განზრახ გადაიქცევა LAN-ის კარიბჭედ. რომელი მოდელი გსურთ, სამი რამ წყვეტს: პროტოკოლი, რომელზეც თქვენი პროვაიდერი ნამდვილად ლაპარაკობს, რამდენად განსხვავებულად უნდა მოვექცეთ მოწყობილობებს და რომელ უკმარისობას გაუძლებთ ცხრა საათზე საღამოს.

რას ფარავს სინამდვილეში როუტერის გვირაბი

როცა გვირაბი მთავრდება როუტერზე, ყოველი მოწყობილობა, რომელიც მის გავლით მარშრუტიზდება, იზიარებს გასასვლელს. ესაა მიმზიდველი ტელევიზორისთვის, კონსოლისთვის ან მოწყობილობისთვის, რომელიც არასდროს გაუშვებს კლიენტს: არაფერი დასაყენებელი, არაფერი გასაახლებელი და ერთი ადგილი პროვაიდერის შესაცვლელად.

დაფარვა პირობითია ისე, რაც ხალხს აკვირვებს. სტუმრის ქსელი ან მეორე SSID საკუთარი პოლიტიკით მიდის იმ გზით, რომელსაც ეს პოლიტიკა განსაზღვრავს, და არა გვირაბით. IPv6-ის გზამ შეიძლება გვერდი აუაროს გვირაბს, რომელიც მხოლოდ IPv4-ს ატარებს. მოწყობილობა საკუთარი VPN აპით ან საკუთარი დაშიფრული გამხსნელით სრულიად უგულებელყოფს როუტერს. ხოლო თავად როუტერის ტრაფიკი, განახლებებისა და DNS-ის ჩათვლით, მის გამოსვლის პოლიტიკას მიჰყვება, რაც LAN-ის გადაგზავნილი ტრაფიკისგან განსხვავებული გზაა.

შემოწმება ორივე მოდელში ერთი და იგივეა და ერთ წუთს იკავებს: ჰკითხეთ ორ მოწყობილობას, რომელ მისამართს ხედავს მსოფლიო, შემდეგ შეხედეთ როუტერის კავშირების სიაში გვირაბს. თუ ტელეფონი იტყობინება ISP-ის მისამართს, სანამ როუტერი აჩვენებს დამყარებულ გვირაბს, ტელეფონი მის გავლით არ მარშრუტიზდება და ხელახალი დაკავშირება ამას ვერ შეცვლის.

სად იმარჯვებს კლიენტი თითოეულ მოწყობილობაზე

კლიენტები თითოეულ მოწყობილობაზე იმარჯვებენ მაშინვე, როცა მოთხოვნები იშლება. სამუშაო ლეპტოპს შეიძლება სჭირდებოდეს კორპორაციული გვირაბი, რომელშიც ტელეფონი არ უნდა შევიდეს; პროვაიდერის კლიენტმა შეიძლება შესთავაზოს გაყოფილი გვირაბი აპლიკაციის მიხედვით, რასაც როუტერი ვერ გამოხატავს; კონსოლს შეიძლება სჭირდებოდეს გარეთ დარჩენა NAT-ის ტიპის შესანარჩუნებლად. ყოველი მოწყობილობა დამოუკიდებლადაც ფუჭდება, ამიტომ ერთი ვადაგასული გამოწერა მთელ სახლს არ აჩუმებს.

სერტიფიკატები უფრო მჭრელი არგუმენტია. როუტერი, რომელიც ყველას სახელით უკავშირდება, ერთ ანგარიშს ფლობს და ამ ქსელის ყოველი ადამიანი მემკვიდრეობით იღებს მის წვდომას. თუ განზრახვაა თითოეული ადამიანის ავთენტიფიკაცია ინტერნეტზე წვდომამდე, მხოლოდ როუტერის გვირაბი ამას ვერ გააკეთებს. ჩვეული დიზაინია ჩამჭრელი პორტალი, რომელიც ადასტურებს ანგარიშს და შემდეგ უშვებს კლიენტს უკვე დამყარებულ გვირაბში, რაც უფრო მეტი მოძრავი ნაწილია, ვიდრე კრებს უმეტესობას სურს.

პროტოკოლების მხარდაჭერა უფრო მეტ საქმეს წყვეტს, ვიდრე უპირატესობა

სამომხმარებლო როუტერები მხოლოდ იმ პროტოკოლებს აჩვენებენ, რაც მწარმოებელმა მიაწოდა. როუტერი PPTP-ით, L2TP-ით ან ჩვეულებრივი IPsec-ით ვერ დაუკავშირდება პროვაიდერს, რომელიც მხოლოდ OpenVPN ან WireGuard პროფილებს აქვეყნებს, და არცერთი კონფიგურაცია ამას არ ცვლის. პატიოსანი არჩევანია პროვაიდერი, რომელიც მხარდაჭერილ პროტოკოლზე ლაპარაკობს, როუტერი OpenWrt-ით ან სხვა პროგრამული უზრუნველყოფით და საჭირო კლიენტით, ან კლიენტი ყოველ მოწყობილობაზე.

საპირისპირო შემთხვევა ისეთივე ხშირია: OpenVPN-ის უნარის მქონე როუტერი ვერ გამოიყენებს პროვაიდერს, რომლის სერვისი საკუთარ კლიენტსა და მის საკუთარ მარშრუტიზაციის ხრიკებზეა დამოკიდებული. ტექნიკის ყიდვამდე წაიკითხეთ პროვაიდერის გვერდი მხარდაჭერილ პროტოკოლებზე და შეამოწმეთ პროგრამული უზრუნველყოფის ვერსია, რადგან პროდუქტის გვერდზე «მხარს უჭერს WireGuard-ს» ხშირად ერთ კონკრეტულ თაობას ნიშნავს.

მოგზაურობის როუტერი WireGuard-ის კლიენტით როუტერის მოდელის იაფი ვერსიაა და გონივრული პასუხია რამდენიმე მოწყობილობისთვის, რომლებსაც კლიენტი ვერ გაუშვებს. ის მაინც როუტერის გვირაბია, ამიტომ ყველაფერი ზემოთ ნათქვამი სტუმრის ქსელებზე, IPv6-სა და საერთო უკმარისობაზე უცვლელად მოქმედებს.

მესამე ვარიანტი: მანქანა კარიბჭედ

კლიენტის ლეპტოპიდან გაზიარება შესაძლებელია და ეს ჩვეულებრივ იგულისხმება, როცა ამბობენ, რომ ლეპტოპი როუტერად აქციეს.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

ეს მუშაობს მანამ, სანამ მანქანა დაიძინებს, კლიენტი სხვა პროფილში ხელახლა დაუკავშირდება ან თავად მანქანის ფაირვოლი გადაგზავნილ პაკეტებს გადააგდებს. მაშინ ყველაფერი მის უკან ერთდროულად კარგავს კავშირს და უკმარისობა მკვდარ ქსელს ჰგავს და არა VPN-ის პრობლემას.

ლაბორატორიისთვის ან დროებითი მოწყობისთვის ეს ნორმალურია. მუდმივ გადაწყვეტად ის ერთ ლეპტოპს სახლის ერთადერთ უკმარისობის წერტილად აქცევს და ჩვეულებრივ მთავრდება კითხვით, რატომ შეწყვიტა ტელევიზორმა მუშაობა თავსახურის დახურვისას.

შემავალი პორტები, DNS და საერთო უკმარისობა

შემავალი სერვისები გვირაბთან ერთად მოძრაობს. როუტერის VPN ჩვეულებრივ ამტვრევს პორტების გადამისამართებას LAN-ის სერვერისთვის და დინამიკური DNS სახელი VPN-ის გასასვლელზე უნდა მიუთითებდეს და არა ISP-ის მისამართზე, თუ სერვისი გვირაბით უნდა იყოს ხელმისაწვდომი. ზოგი პროვაიდერი საერთოდ არ გვთავაზობს მარშრუტიზებად შემავალ მისამართს, რაც ჩუმად ამთავრებს ნებისმიერ გეგმას, რომელიც მასზე იყო დაფუძნებული.

DNS მიჰყვება როუტერს, როცა როუტერი ფლობს გვირაბს, რაც მოსახერხებელია მანამ, სანამ ერთ მოწყობილობას სხვა გამხსნელი დასჭირდება. კლიენტი თითოეულ მოწყობილობაზე ამას გამოხატავს; როუტერის პოლიტიკა ვერა, ქსელის ორად გაყოფის გარეშე. უკმარისობაც საერთოა, რადგან ერთი ავარია, ერთი ვადაგასული გამოწერა ან ერთი ცუდად ჩაგდებული მარშრუტი ერთსა და იმავე წამში წყვეტს ყოველ მოწყობილობას.

აირჩიეთ როუტერის მოდელი, როცა მოწყობილობებს კლიენტები ვერ გაუშვია და ერთი გასასვლელი მისაღებია. აირჩიეთ კლიენტები თითოეულ მოწყობილობაზე, როცა პოლიტიკები განსხვავდება, როცა პროვაიდერს სჭირდება პროტოკოლი, რომელიც როუტერს არ აქვს, ან როცა ანგარიში არ უნდა გაიზიაროს. თუ მანქანა კარიბჭეა, ჩაწერეთ, რომელი ინტერფეისი რომელ ქსელს იზიარებს და გამოსცადეთ «გვირაბი ჩამოვარდა» შემთხვევა, რადგან სწორედ ამ მდგომარეობაში აღმოჩნდება ეს დიზაინები უმეტესად მცდარი.