Телефон VPN-сыз қалды ма? Маршрутизатордағы туннель немесе әр құрылғыдағы клиент

Ноутбук VPN-ге қосылған, телефон сол Wi-Fi желісінде, бірақ телефон әлі де ISP мекенжайынан шарлайды. Бұл клиент қатесі емес: туннель оны аяқтайтын машинада өмір сүреді және басқа ештеңе оны жақындық арқылы мұраламайды. Қамту тек маршрутизатор клиентті өзі іске қосқанда немесе машина әдейі LAN шлюзіне айналдырылғанда кеңейеді. Қай үлгіні қалайтыныңызды үш нәрсе шешеді: провайдеріңіз шынымен сөйлейтін протокол, құрылғыларды қаншалықты өзгеше өңдеу керектігі және кешкі тоғызда қандай ақауға шыдай алатыныңыз.

Маршрутизатор туннелі шын мәнінде нені қамтиды

Туннель маршрутизаторда аяқталғанда, ол арқылы маршруттайтын әр құрылғы шығысты бөліседі. Бұл теледидар, консоль немесе ешқашан клиент іске қоспайтын құрылғы үшін тартымды: орнатудың қажеті жоқ, өзекті ұстаудың қажеті жоқ және провайдерді ауыстыратын бір орын бар.

Қамту адамдарды таңғалдыратын тәсілдермен шартты. Қонақ желісі немесе өз саясаты бар екінші SSID сол саясат анықтайтын жолмен жүреді, туннельмен емес. IPv6 жолы тек IPv4 таситын туннельді айналып өтуі мүмкін. Өз VPN қолданбасы немесе өз шифрланған шешушісі бар құрылғы маршрутизаторды толығымен елемейді. Ал маршрутизатордың өз трафигі, жаңартулар мен DNS қоса, оның шығыс саясатына бағынады, бұл LAN-ның жіберілетін трафигінен басқа жол.

Тексеру екі үлгіде де бірдей және бір минут алады: екі құрылғыдан әлем қандай мекенжайды көретінін сұраңыз, содан кейін маршрутизатордың қосылымдар тізімінен туннельді қараңыз. Егер телефон ISP мекенжайын хабарлап, маршрутизатор орнатылған туннельді көрсетсе, телефон ол арқылы маршрутталмайды және ешқандай қайта қосылу мұны өзгертпейді.

Әр құрылғыдағы клиент қай жерде ұтады

Әр құрылғыдағы клиенттер талаптар ажыраған бойда ұтады. Жұмыс ноутбукіне телефон кіруге тиіс емес корпоративтік туннель қажет болуы мүмкін; провайдер клиенті қолданба бойынша бөлінген туннель ұсынуы мүмкін, оны маршрутизатор білдіре алмайды; консоль NAT түрін сақтау үшін сыртта қалуы мүмкін. Әр құрылғы өздігінен де істен шығады, сондықтан бір мерзімі біткен жазылым бүкіл үйді үнсіз қалдырмайды.

Тіркелгі деректері — өткірірек дәлел. Барлығының атынан қосылатын маршрутизатор бір тіркелгіні ұстайды және сол желідегі әр адам оның қатынасын мұралайды. Егер мақсат интернетке қатынастан бұрын әр адамды аутентификациялау болса, маршрутизатордағы туннель жалғыз өзі мұны істей алмайды. Әдеттегі шешім — тіркелгіні растайтын және содан кейін клиентті бұрыннан орнатылған туннельге жіберетін captive портал, бұл көптеген үйлер қалағаннан көбірек қозғалмалы бөліктер.

Протоколдарды қолдау қалаудан гөрі көбірек жағдайды шешеді

Тұтынушылық маршрутизаторлар тек өндіруші жеткізген протоколдарды ұсынады. PPTP, L2TP немесе қарапайым IPsec бар маршрутизатор тек OpenVPN немесе WireGuard профильдерін жариялайтын провайдерге қосыла алмайды және ешбір конфигурация мұны өзгертпейді. Адал нұсқалар — қолдау көрсетілетін протоколда сөйлейтін провайдер, қажетті клиенті бар OpenWrt немесе басқа микробағдарламасы бар маршрутизатор немесе әр құрылғыдағы клиент.

Кері жағдай да сол кездесетін: OpenVPN қолдайтын маршрутизатор қызметі өз клиентіне және өз маршруттау әдістеріне тәуелді провайдерді пайдалана алмайды. Аппараттық құрал сатып алмас бұрын провайдердің қолдау көрсетілетін протоколдар туралы бетін оқыңыз және микробағдарлама нұсқасын тексеріңіз, өйткені өнім бетіндегі «WireGuard қолдайды» көбінесе бір нақты микробағдарлама буынын білдіреді.

WireGuard клиенті бар саяхат маршрутизаторы — маршрутизатор үлгісінің арзан нұсқасы және клиент іске қоса алмайтын бірнеше құрылғы үшін ақылға қонымды жауап. Бұл әлі де маршрутизатор туннелі, сондықтан қонақ желілері, IPv6 және ортақ ақау туралы жоғарыда айтылғандар өзгеріссіз қолданылады.

Үшінші нұсқа: машина шлюз ретінде

Клиентті ноутбуктен бөлісуге болады және адамдар ноутбукті маршрутизаторға айналдырдым дегенде әдетте осыны айтады.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Бұл машина ұйықтағанша, клиент басқа профильге қайта қосылғанша немесе машинаның өз тұмсыққақпасы жіберілетін пакеттерді тастағанша жұмыс істейді. Сонда оның артындағының бәрі бір мезгілде байланысын жоғалтады және ақау VPN мәселесі емес, өлі желі сияқты көрінеді.

Зертхана немесе уақытша конфигурация үшін бұл дұрыс. Тұрақты шешім ретінде ол бір ноутбукті шаңырақтың жалғыз істен шығу нүктесіне айналдырады және әдетте қақпақ жабылғанда теледидар неге тоқтағанын біреудің таңдануымен аяқталады.

Кіріс порттары, DNS және ортақ ақау

Кіріс қызметтер туннельмен бірге жылжиды. Маршрутизатордағы VPN әдетте LAN сервері үшін порттарды бағыттауды бұзады және динамикалық DNS атауы қызмет туннель арқылы қолжетімді болуы керек болса, ISP мекенжайына емес, VPN шығысына нұсқауы керек. Кейбір провайдерлер мүлде маршрутталатын кіріс мекенжайын ұсынбайды, бұл оған сүйенген кез келген жоспарды тыныш тоқтатады.

DNS маршрутизаторға ие болғанда оның соңынан жүреді, бұл бір құрылғыға басқа шешуші қажет болғанша ыңғайлы. Әр құрылғыдағы клиент мұны білдіре алады; маршрутизатор саясаты желіні екіге бөлмейінше мұны істей алмайды. Ақау да ортақ, өйткені бір құлау, бір мерзімі біткен жазылым немесе бір нашар итерілген маршрут әр құрылғыны сол сәтте ажыратады.

Құрылғылар клиенттерді іске қоса алмаса және бір шығыс қолайлы болса, маршрутизатор үлгісін таңдаңыз. Саясаттар ерекшеленсе, провайдерге маршрутизаторда жоқ протокол қажет болса немесе тіркелгіні бөлісуге болмаса, әр құрылғыдағы клиенттерді таңдаңыз. Егер машина шлюз болса, қай интерфейс қай желіні бөлетінін жазып қойыңыз және «туннель құлады» жағдайын тексеріңіз, өйткені көптеген мұндай жобалар дәл осы күйде қате болып шығады.