Handy baussen der VPN? Routertunnel oder Client pro Apparat

Den Laptop ass mat der VPN verbonnen, den Handy ass op der selwechter Wi-Fi, an den Handy surft trotzdem vun der ISP-Adress. Dat ass kee Clientfehler: en Tunnel lieft op der Maschinn, déi hien ofschléisst, an näischt anescht ierft hien duerch Noperschaft. D'Ofdeckung verbreet sech nëmmen, wann den Router selwer de Client lafe léisst, oder wann eng Maschinn bewosst zu enger Gateway fir de LAN gemaach gëtt. Wéi en Model Dir wëllt, entscheeden dräi Saachen: de Protokoll, deen Äre Fournisseur wierklech schwätzt, wéi verschidde d'Apparater behandelt musse ginn, a wéi en Ausfall Dir um néng Auer owes packt.

Wat en Routertunnel wierklech deckt

Wann den Tunnel um Router ophält, deelen all Apparater, déi duerch hien routeren, den Ausgang. Dat ass den Ureiz fir en Televisioun, eng Konsole oder en Apparat, dee ni e Client wäert lafen: näischt ze installéieren, näischt aktuell ze halen an eng eenzeg Plaz, fir de Fournisseur ze wiesselen.

D'Ofdeckung ass bedenkt op Manéieren, déi d'Leit iwwerrasche. En Gäschenetz oder en zweete SSID mat eegener Politik follegt de Wee, deen déi Politik festleet, net den Tunnel. En IPv6-Wee kann en Tunnel ëmgoen, dee just IPv4 dréit. En Apparat mat enger eegener VPN-App oder engem eegenen verschlësselte Resolver ignoréiert den Router komplett. An den eegene Verkéier vum Router, Update an DNS abegraff, follegt senger Ausgangspolitik, wat en anere Wee ass wéi dee weidergeleet Verkéier vum LAN.

D'Kontroll ass a béide Modeller déi selwecht an dauert eng Minutt: frot zwee Apparater, wéi eng Adress d'Welt gesäit, a kuckt dann an der Verbindungslëscht vum Router nom Tunnel. Wann den Handy d'ISP-Adress mëttelt, während den Router en opgeriichten Tunnel weist, gëtt den Handy net duerch hien geroutet, a keng Neiverbindung ännert dat.

Wou e Client pro Apparat gewënnt

Cliente pro Apparat gewënnen, soubal d'Ufuerderunge ausernaner goen. En Aarbechtslaptop brauch vläicht en Firmetunnel, wou den Handy net dierf matmaachen; e Fournisseurclient bitt vläicht Split-Tunnelling pro Applikatioun, wat en Router net ausdrécke kann; eng Konsole muss vläicht dobausse bleiwen, fir hire NAT-Typ ze halen. Jeden Apparat fält och eleng aus, sou datt een ofgelaf Abonnement net d'ganzt Haus stëll mécht.

D'Zougangsinformatiounen sinn dat méi schaarf Argument. En Router, dee fir all eenzege verbënnt, hält eent Kont, an all Persoun op deem Netz ierft säin Zougang. Wann d'Absicht eng Authentifikatioun pro Persoun virum Internetzougang ass, kann en Routertunnel eleng dat net. Den üblechen Design ass e Captive Portal, dee d'Kont validéiert an den Client dann an en bereits opgeriichten Tunnel entléisst, wat méi beweeglech Deeler ass wéi déi meescht Stéit wëllen.

Protokollënnerstëtzung entscheet méi Fäll wéi d'Virléift

Consumenteroutere bidden nëmmen d'Protokoller, déi de Fabrikant matgeliwwert huet. En Router mat PPTP, L2TP oder einfachem IPsec kann sech net mat engem Fournisseur verbannen, deen nëmmen OpenVPN oder WireGuard-Profile publizéiert, an keng Konfiguratioun ännert dat. Déi éierlech Optioune sinn e Fournisseur, deen en ënnerstëtzte Protokoll schwätzt, en Router mat OpenWrt oder anerer Firmware mat deem Client, deen Dir braucht, oder e Client op all Apparat.

De Géigefall ass däitlech grad esou heefeg: en OpenVPN-fäegen Router kann kee Fournisseur benotzen, deem säi Service vun engem proprietäre Client an sengen eegene Routingstriche ofhänkt. Liest d'Säit vum Fournisseur iwwer ënnerstëtzte Protokoller, ier Dir Hardware kaaft, a kontrolléiert d'Firmwareversioun, well 'ënnerstëtzt WireGuard' op enger Produktsäit dacks eng bestëmmte Firmwaregeneratioun bedeit.

En Reesrouter mat WireGuard-Client ass déi bëlleg Versioun vum Routermodel, an et ass eng raisonnabel Äntwert fir eng Handvoll Apparater, déi kee Client kënne lafen. Et ass nach ëmmer en Routertunnel, also gëllt alles hei uewen iwwer Gäschenetzer, IPv6 an deelen Ausfall onverännert.

Déi drëtt Optioun: eng Maschinn als Gateway

E Client vun engem Laptop deelen ass méiglech, an dat mierkt een normalerweis, wann een de Laptop an en Router verwandelt.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Et funktionéiert, bis d'Maschinn schléift, de Client sech an en anert Profil nei verbënnt oder dem Maschinn seng eege Firewall weidergeluet Pakete verwërft. Dann verléiert alles dobannen d'Verbindung op eemol, an den Ausfall gesäit wéi en doudegt Netz aus, net wéi e VPN-Problem.

Fir e Labor oder eng temporär Opstellung ass et in Ordnung. Als permanent Reegel mécht et een Laptop zum eenzegen Ausfallpunkt fir en Haushalt, an et endet meeschtens domat, datt sech een freet, firwat den Televisioun opgehalen huet, wéi en Deckel zougaach.

Erauskommend Porten, DNS an deen Ausfall, deen Dir deelt

Akommend Servicer réckele mat dem Tunnel. Eng Router-VPN brécht normalerweis d'Portweiderleitung fir en LAN-Server, an en dynameschen DNS-Numm muss op den VPN-Ausgang weisen an net op d'ISP-Adress, wann de Service duerch den Tunnel erreechbar soll sinn. E puer Fournisseur bidden iwwerhaapt keng routbar akommend Adress, wat all Plang, deen op enger berout, stëll ophält.

DNS follegt dem Router, wann de Router den Tunnel besëtzt, wat praktesch ass, bis een Apparat en aneren Resolver brauch. E Client pro Apparat kann dat ausdrécken; eng Routerpolitik kann dat net, ouni d'Netz an zwee ze deelen. Den Ausfall gëtt och gedeelt, well een Crash, een ofgelaf Abonnement oder eng schlecht geschéckt Route all Apparat am selwechten Ament trennt.

Wielt de Routermodel, wann d'Apparater keng Cliente kënne lafen an een eenzegen Ausgang akzeptabel ass. Wielt Cliente pro Apparat, wann d'Politiken ënnerschiddlech sinn, wann de Fournisseur e Protokoll brauch, deen den Router net huet, oder wann d'Kont net dierf gedeelt ginn. Wann eng Maschinn d'Gateway ass, schreift op, wéi eng Schnëttstell wéi en Netz deelt, a testt de Fall 'Tunnel fort', well dat ass den Zoustand, an deem sech déi meescht vun dësen Entwërf als falsch erweisen.