VPN კლიენტი როუტერზე თუ სერვერის რეჟიმი: რას ხსნის თითოეული
როუტერის ერთი როლი თქვენს ტრაფიკს შორეულ გასასვლელში აგზავნის, მეორე კი უკან შემოსვლის საშუალებას გაძლევთ. სანამ რომელიმეს ჩართავთ, წაიკითხეთ მენიუები, სამოწმებელი მონაცემები და დაბრუნების გზა.
შედიხართ როუტერში, ხსნით VPN გვერდს და პოულობთ ორ ჩანართს, რომლებიც ერთი და იგივე ფუნქციის ორჯერ აღწერას ჰგავს: ერთი პროფილის ფაილს ითხოვს სხვა ადგილიდან, მეორე კი გთხოვთ, შექმნათ სერტიფიკატები და აირჩიოთ პორტი. ეს ერთი პარამეტრის ორი ხედი არ არის. ერთი როლი როუტერს გარეთ დარეკვას აიძულებს, მეორე — პასუხის გაცემას, და ერთ მოწყობილობას ორივე შეუძლია, ისე რომ ერთი მეორეს არ ეხმარებოდეს. აქ არის, როგორ წაიკითხოთ მენიუ და გადაწყვიტოთ, რომელ მხარეს ხართ, სანამ რამეს ჩართავთ.
გახსენით VPN მენიუ და წაიკითხეთ როლების სახელები
დაიწყეთ განყოფილებების სათაურებით და არა გადამრთველებით. ჩანართი წარწერით კლიენტი ან „VPN სერვისზე დაკავშირება“ ელოდება იმპორტირებულ პროფილს, კონფიგურაციის ფაილს ან სხვის მიერ გამოცემულ სამოწმებელი მონაცემების ნაკრებს. ჩანართი წარწერით სერვერი ელოდება, რომ შექმნით იდენტობებს, აირჩევთ პროტოკოლსა და პორტს და ჩვეულებრივ გაიტანთ პროფილს ყოველი დაკავშირებადი მოწყობილობისთვის.
ყუთზე დაწერილ მარკეტინგულ სტრიქონს მოეპყარით როგორც დაუდასტურებელს, სანამ მენიუ არ დაემთხვევა. „VPN მხარდაჭერილია“ შეიძლება ნიშნავდეს კლიენტს, სერვერს, პროტოკოლის გავლის დამხმარეს, რომელიც მხოლოდ პაკეტებს უგზავნის როუტერის უკან მდგარ მოწყობილობას, ან საკუთარ დისტანციური წვდომის აპლიკაციას ყოველგვარი სტანდარტული პროფილის გარეშე. მხოლოდ firmware-ის დოკუმენტაცია განასხვავებს ამ შემთხვევებს, ხოლო სტიკერზე არსებული მოდელის ნომერი — არა.
კლიენტის რეჟიმი: თქვენი LAN გადის სხვისი გასასვლელით
კლიენტის რეჟიმში როუტერი ისე იქცევა, როგორც VPN აპლიკაციის მქონე ლეპტოპი. მას სჭირდება თავსებადი პროტოკოლი, პროფილი ან სამოწმებელი მონაცემები შორეული ოპერატორისგან და მარშრუტიზაციის გადაწყვეტილება იმის შესახებ, რომელი ქვედა დონის მოწყობილობები იყენებენ გვირაბს. ბევრ firmware-ს აქვს პოლიტიკის სია, სადაც ასახელებთ წყაროს მისამართებს ან ინტერფეისებს, რომლებიც გვირაბით უნდა გაიგზავნოს, დანარჩენს კი ჩვეულებრივ კავშირზე ტოვებთ.
ნაწილი, რომელიც ჩუმად ფუჭდება, შორეული მხარეა. ის ბოლო წერტილი, რომელსაც უერთდებით, უნდა გადასცემდეს ინტერნეტ ტრაფიკს თქვენთვის და უზრუნველყოფდეს დაბრუნების გზას, და ეს პროვაიდერის პოლიტიკაა, არა თქვენი როუტერის პარამეტრი. მენიუ, რომელიც მხოლოდ სერვერის რეჟიმს გთავაზობთ, ვერ შექმნის ამ გარე სერვისს, როგორც არ უნდა დაკონფიგურირდეს, და პროვაიდერი, რომელიც მხოლოდ საიტ-საიტ კავშირებს უჭერს მხარს, შეიძლება წარმატებით დაუკავშირდეს გვირაბს, მაგრამ გადაყაროს ყველაფერი, რასაც მის გავლით აგზავნით.
შემდეგ შეამოწმეთ, როგორ ეხება გვირაბი DNS-ს. თუ პროფილი აყენებს გადამწყვეტს, როუტერმა ის ქვედა დონის კლიენტებს უნდა გადასცეს; თუ არა, კლიენტები კვლავ პროვაიდერის გადამწყვეტს იყენებენ და სახელებს გვირაბის გარეთ წყვეტენ, თუმცა პაკეტები შიგნით მიდის. სწრაფი შემოწმება დაკავშირებული ლეპტოპიდან: მისამართი, რომელსაც IP ექოს გვერდზე ხედავთ, გასასვლელი უნდა იყოს, ხოლო გამოყენებული გადამწყვეტის მისამართი ის უნდა იყოს, რომელიც გვირაბმა მოგაწოდათ.
სერვერის რეჟიმი: ვიღაც სხვა შემოდის თქვენს LAN-ში
სერვერის რეჟიმი აბრუნებს მიმართულებას. როუტერი უსმენს, მოგზაური მოწყობილობა უკავშირდება, და შემდეგ როუტერი წყვეტს, სახლის რომელ რესურსებს შეიძლება მიაღწიოს ამ კავშირმა. ეს არის როლი, რომელიც გჭირდებათ NAS-ისთვის, ლაბორატორიული მანქანისთვის ან პრინტერისთვის, და მას აქვს წინაპირობა, რომელიც კლიენტის როლს არ აქვს: რაღაც გარედან უნდა შეძლოს მსმენელამდე მისვლა.
სწორედ ამ წინაპირობაზე ჩერდება სახლის დაყენებების უმეტესობა. თუ როუტერი პროვაიდერის საკუთარი კარიბჭის უკანაა, VPN პორტი ამ კარიბჭიდან უნდა გადაფორვარდდეს, ან როუტერი უნდა გადავიდეს ხიდის ან DMZ რეჟიმში. ოპერატორის დონის NAT-ის უკან შემომავალი პორტი საერთოდ არ არის გადასაფორვარდებელი, ამიტომ დიზაინი უნდა შეიცვალოს: გარე გვირაბი როუტერიდან რელეზე, ჰოსტინგის ბოლო წერტილზე ან mesh პროდუქტზე. სერვერი, რომელსაც ვერ მივაღწევთ, არ არის არასწორად კონფიგურირებული, ის მიუწვდომელია.
იდენტობებიც განსხვავდება როლის მიხედვით. სახლის კლიენტის პროფილი, რომელიც ყველაფერს ფასიან გასასვლელში აგზავნის, ერთი საერთო საიდუმლოა, ხოლო სერვერს, რომელიც სამ ტელეფონს და ლეპტოპს უშვებს, სჭირდება ოთხი იდენტობა, რომლებიც ცალ-ცალკე შეგიძლიათ გააუქმოთ. სერტიფიკატები და გასაღებები თითოეულ მოწყობილობაზეა, და როუტერის ექსპორტის გვერდმა ერთი ფაილი უნდა მოგცეთ თითოეულ მოწყობილობაზე და არა ერთი ფაილი მთელი სახლისთვის.
სანამ აიღებთ ვალდებულებას, შეამოწმეთ ზუსტი იმპლემენტაცია
Netgate-ის დოკუმენტაცია VPN როლის არჩევის შესახებ როლებს ასე ჰყოფს, და ღირს თქვენი firmware-ის შესაბამისი გვერდის წაკითხვა იმის ნაცვლად, რომ ჩანართების სახელებიდან ივარაუდოთ. მოძებნეთ სამი კონკრეტული ფაქტი: რომელ პროტოკოლებზე შეუძლია კლიენტს საუბარი, უჭერს თუ არა სერვერი მხარს იმ პროტოკოლს, რომელსაც თქვენი მოწყობილობები იყენებენ, და ფარავს თუ არა მარშრუტიზაციის პოლიტიკა წყაროს მისამართებს, მთლიან ინტერფეისებს თუ საერთოდ არაფერს.
შემდეგ შეხედეთ მხარდაჭერის საზღვარს. მომხმარებლის როუტერი კლიენტის ჩანართით, მაგრამ პოლიტიკის სიის გარეშე, ყოველ მოწყობილობას გვირაბით გაატარებს, რაც კარგია სტრიმინგის ყუთისთვის და ცუდია სამუშაო ლეპტოპისთვის, რომელსაც ოფისის გვირაბი სჭირდება. როუტერი სერვერის ჩანართით, მაგრამ ერთი საერთო პროფილით, გონივრული ლაბორატორიული ინსტრუმენტია და ცუდი არჩევანი ოჯახისთვის, რადგან ერთი მოწყობილობის გაუქმება ყველას კონფიგურაციის შეცვლას ნიშნავს.
აირჩიეთ როლი იმის მიხედვით, საიდან იწყება ტრაფიკი
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
სანამ სხვა რამეს შეცვლით, გაიარეთ არჩეული სტრიქონი თავიდან ბოლომდე. ჩართეთ როლი, დააკავშირეთ ერთი კლიენტი, დაადასტურეთ მისამართი, რომლითაც ის ჩანს, დაადასტურეთ, რომელ გადამწყვეტს იყენებს და დაადასტურეთ დაბრუნების გზა საპირისპირო მიმართულებით. თუ როუტერს firewall-ის გვერდიც აქვს, შეამოწმეთ, რომ ახალი ინტერფეისი არ არის დაბლოკილი ნაგულისხმევი წესით, რომელიც მაშინ დაიწერა, როცა გვირაბი ჯერ არ არსებობდა.
როცა ორივე როლი ხელმისაწვდომია და მოთხოვნა ნამდვილად ორივეს მოიცავს, გაუშვით ისინი ცალკე ფუნქციებად ცალკე დოკუმენტაციით. ერთ როუტერს შეუძლია ტელევიზორისთვის გარეთ დარეკვა და ამავდროულად NAS-ზე ტელეფონის კავშირის მიღება, მაგრამ ორი პოლიტიკა არ უნდა იზიარებდეს ქვექსელს, DNS პარამეტრს ან firewall-ის ზონას, თორემ ერთისთვის გაკეთებული პირველი ცვლილება მეორეს დააზიანებს.