Телефон VPN сыртында калдыбы? Маршрутизатордогу туннель же ар бир түзмөктөгү клиент

Ноутбук VPNге туташкан, телефон ошол эле Wi-Fi тармагында, бирок телефон дагы эле ISP дарегинен серептейт. Бул клиенттин катасы эмес: туннель аны бүтүргөн машинада жашайт жана башка эч нерсе аны жакындык аркылуу мурастабайт. Камтуу маршрутизатор клиентти өзү иштеткенде гана же машина атайын LAN шлюзуна айландырылганда гана кеңейет. Кайсы модель керек экенин үч нерсе чечет: провайдериңиз чындап сүйлөгөн протокол, түзмөктөрдү канчалык башкача иштетүү керектиги жана кечинде тогузда кандай бузулууга чыдай аларыңыз.

Маршрутизатор туннели чындыгында эмнени камтыйт

Туннель маршрутизатордо бүткөндө, андан өтүп маршруттаган ар бир түзмөк чыгууну бөлүшөт. Бул телевизор, консол же эч качан клиент иштетпеген аппарат үчүн жагымдуу: орнотуунун кереги жок, актуалдуу кармоонун кереги жок жана провайдерди алмаштыра турган бир жер бар.

Камтуу адамдарды таң калтырган жолдор менен шарттуу. Конок тармагы же өз саясаты бар экинчи SSID ошол саясат аныктаган жол менен жүрөт, туннель менен эмес. IPv6 жолу тек IPv4 ташыган туннелди айланып өтүшү мүмкүн. Өз VPN колдонмосу же өз шифрленген чечүүчүсү бар түзмөк маршрутизаторду толугу менен этибарга албайт. Ал эми маршрутизатордун өз трафиги, жаңыртуулар жана DNS кошо алганда, анын чыгуу саясатына баш ийет, бул LANдын жиберилген трафигинен башка жол.

Текшерүү эки моделде тең бирдей жана бир мүнөт алат: эки түзмөктөн дүйнө кайсы даректи көрөрүн сураңыз, анан маршрутизатордун туташуулар тизмесинен туннелди караңыз. Эгер телефон ISP дарегин билдирип, маршрутизатор орнотулган туннелди көрсөтсө, телефон андан маршрутталбайт жана эч кандай кайра туташуу муну өзгөртпөйт.

Ар бир түзмөктөгү клиент кайда утат

Ар бир түзмөктөгү клиенттер талаптар ажыраган заматта утат. Иш ноутбугуна телефон кирүүгө тийиш эмес корпоративдик туннель керек болушу мүмкүн; провайдердин клиенти колдонмо боюнча бөлүнгөн туннель сунушташы мүмкүн, муну маршрутизатор билдире албайт; консол NAT түрүн сактоо үчүн сыртта калышы мүмкүн. Ар бир түзмөк өзүнчө да иштен чыгат, ошондуктан бир мөөнөтү бүткөн жазылуу бүткүл үйдү унчукпай калтырбайт.

Каттоо маалыматтары — курчураак далил. Баарынын атынан туташкан маршрутизатор бир эсепти кармайт жана ошол тармактагы ар бир адам анын кирүү мүмкүнчүлүгүн мурастайт. Эгер максат интернетке кирүүдөн мурун ар бир адамды аутентификациялоо болсо, маршрутизатордогу туннель жалгыз өзү муну жасай албайт. Адаттагы чечим — эсепти текшерүүчү жана андан кийин клиентти мурунтан орнотулган туннелге жиберүүчү captive портал, бул көптөгөн үйлөр каалагандан көбүрөөк кыймылдуу бөлүктөр.

Протоколдорду колдоо каалоодон көрө көбүрөөк учурду чечет

Керектөөчү маршрутизаторлор өндүрүүчү жеткирген протоколдорду гана сунуштайт. PPTP, L2TP же жөнөкөй IPsec бар маршрутизатор тек OpenVPN же WireGuard профилдерин жарыялаган провайдерге туташа албайт жана эч кандай конфигурация муну өзгөртпөйт. Адал варианттар — колдоого алынган протоколдо сүйлөгөн провайдер, керектүү клиенти бар OpenWrt же башка микропрограммасы бар маршрутизатор же ар бир түзмөктөгү клиент.

Кери учур да ошондой эле кездешет: OpenVPN колдогон маршрутизатор кызматы өз клиентине жана өз маршруттоо амалдарына көз каранды провайдерди колдоно албайт. Аппараттык каражат сатып алардан мурун провайдердин колдоого алынган протоколдор тууралуу баракчасын окуңуз жана микропрограмма версиясын текшериңиз, анткени продукт баракчасындагы «WireGuard колдойт» көбүнчө бир конкреттүү микропрограмма муунун билдирет.

WireGuard клиенти бар саякат маршрутизатору — маршрутизатор моделинин арзан версиясы жана клиент иштете албаган бир нече түзмөк үчүн акылга сыярлык жооп. Бул дагы эле маршрутизатор туннели, ошондуктан конок тармактары, IPv6 жана жалпы бузулуу тууралуу жогоруда айтылгандар өзгөрүүсүз колдонулат.

Үчүнчү вариант: машина шлюз катары

Клиентти ноутбуктан бөлүшүүгө болот жана адамдар ноутбукту маршрутизаторго айландырдым дегенде адатта ушуну айтышат.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Бул машина уктаганга, клиент башка профилге кайра туташканга же машинанын өз коргоо дубалы жиберилген пакеттерди таштаганга чейин иштейт. Ошондо анын артындагылардын баары бир убакта байланышын жоготот жана бузулуу VPN маселеси эмес, өлүк тармак сыяктуу көрүнөт.

Лаборатория же убактылуу конфигурация үчүн бул туура. Туруктуу чечим катары ал бир ноутбукту үй-бүлөнүн жалгыз бузулуу чекитине айландырат жана адатта капкак жабылганда телевизор эмнеге токтогонун бирөөнүн таң калышы менен аяктайт.

Кирүү порттору, DNS жана жалпы бузулуу

Кирүү кызматтары туннель менен бирге жылышат. Маршрутизатордогу VPN адатта LAN сервери үчүн портторду багыттоону бузат жана динамикалык DNS аты кызмат туннель аркылуу жеткиликтүү болушу керек болсо, ISP дарегине эмес, VPN чыгуусуна көрсөтүшү керек. Айрым провайдерлер такыр эле маршрутталуучу кирүү дарегин сунуштабайт, бул ага таянган ар кандай планды тынч жабат.

DNS маршрутизатор туннелге ээ болгондо анын артынан жүрөт, бул бир түзмөккө башка чечүүчү керек болгонго чейин ыңгайлуу. Ар бир түзмөктөгү клиент муну билдире алат; маршрутизатор саясаты тармакты экиге бөлбөстөн муну жасай албайт. Бузулуу да жалпы, анткени бир кулоо, бир мөөнөтү бүткөн жазылуу же бир начар түртүлгөн маршрут ар бир түзмөктү ошол эле учурда ажыратат.

Түзмөктөр клиенттерди иштете албаса жана бир чыгуу кабыл алынарлык болсо, маршрутизатор моделин тандаңыз. Саясаттар айырмаланса, провайдерге маршрутизатордо жок протокол керек болсо же эсепти бөлүшүүгө болбосо, ар бир түзмөктөгү клиенттерди тандаңыз. Эгер машина шлюз болсо, кайсы интерфейс кайсы тармакты бөлүштүрөөрүн жазып коюңуз жана «туннель кулады» учурун текшериңиз, анткени көптөгөн ушундай долбоорлор дал ушул абалда ката болуп чыгат.