Telefonas liko už VPN? Maršrutizatoriaus tunelis ar klientas kiekviename įrenginyje

Nešiojamasis kompiuteris prijungtas prie VPN, telefonas yra tame pačiame Wi-Fi tinkle, o telefonas vis tiek naršo iš IPT adreso. Tai ne kliento klaida: tunelis gyvena mašinoje, kuri jį užbaigia, ir niekas kitas jo nepaveldi dėl artumo. Aprėptis plinta tik tada, kai maršrutizatorius pats paleidžia klientą, arba kai mašina sąmoningai paverčiama LAN tinklų sietuvu. Kokio modelio norite, lemia trys dalykai: protokolas, kurį jūsų tiekėjas iš tikrųjų kalba, kiek skirtingai reikia apdoroti įrenginius ir kokį gedimą galite pakelti devintą vakaro.

Ką maršrutizatoriaus tunelis iš tikrųjų apima

Kai tunelis baigiasi maršrutizatoriuje, kiekvienas įrenginys, kuris maršrutizuoja per jį, dalijasi išėjimu. Tai patrauklu televizoriui, konsolei ar prietaisui, kuris niekada nepaleis kliento: nieko nereikia diegti, nieko nereikia atnaujinti ir viena vieta, kur pakeisti tiekėją.

Aprėptis yra sąlyginė tokiais būdais, kurie žmones nustebina. Svečių tinklas ar antras SSID su savo politika eina keliu, kurį nustato ta politika, o ne tuneliu. IPv6 kelias gali apeiti tunelį, kuris perduoda tik IPv4. Įrenginys su sava VPN programėle ar savo šifruotu sprendėju visiškai ignoruoja maršrutizatorių. O paties maršrutizatoriaus srautas, įskaitant atnaujinimus ir DNS, laikosi jo išėjimo politikos, kuri yra kitas kelias nei LAN persiunčiamas srautas.

Patikra abiejuose modeliuose yra tokia pati ir trunka minutę: paklauskite dviejų įrenginių, kokį adresą mato pasaulis, tada pažiūrėkite maršrutizatoriaus ryšių sąraše tunelį. Jei telefonas praneša IPT adresą, o maršrutizatorius rodo sukurtą tunelį, telefonas nėra maršrutizuojamas per jį, ir joks pakartotinis prisijungimas to nepakeis.

Kur laimi klientas kiekviename įrenginyje

Klientai kiekviename įrenginyje laimi, kai tik reikalavimai išsiskiria. Darbo nešiojamajam kompiuteriui gali reikėti įmonės tunelio, prie kurio telefonas neturi prisijungti; tiekėjo klientas gali siūlyti padalintą tunelį pagal programą, ko maršrutizatorius negali išreikšti; konsolei gali reikėti likti už ribų, kad išlaikytų savo NAT tipą. Kiekvienas įrenginys taip pat sugenda atskirai, todėl viena pasibaigusi prenumerata neaptylina visų namų.

Prisijungimo duomenys yra aštresnis argumentas. Maršrutizatorius, kuris jungiasi visų vardu, turi vieną paskyrą, ir kiekvienas žmogus tame tinkle paveldi jos prieigą. Jei tikslas yra kiekvieno asmens autentifikavimas prieš interneto prieigą, vien maršrutizatoriaus tunelis to negali. Įprastas sprendimas yra captive portal, kuris patvirtina paskyrą ir tada įleidžia klientą į jau sukurtą tunelį, o tai daugiau judančių dalių, nei nori dauguma namų ūkių.

Protokolų palaikymas nusprendžia daugiau atvejų nei pasirinkimas

Vartotojų maršrutizatoriai siūlo tik tuos protokolus, kuriuos pateikė gamintojas. Maršrutizatorius su PPTP, L2TP ar paprastu IPsec negali prisijungti prie tiekėjo, kuris skelbia tik OpenVPN ar WireGuard profilius, ir jokia konfigūracija to nepakeis. Sąžiningos galimybės yra tiekėjas, kuris kalba palaikomą protokolą, maršrutizatorius su OpenWrt ar kita programine įranga ir reikiamu klientu, arba klientas kiekviename įrenginyje.

Priešingas atvejis yra toks pat įprastas: maršrutizatorius, palaikantis OpenVPN, negali naudoti tiekėjo, kurio paslauga priklauso nuo savo kliento ir jo maršrutizavimo triukų. Prieš pirkdami techninę įrangą perskaitykite tiekėjo palaikomų protokolų puslapį ir patikrinkite programinės įrangos versiją, nes „palaiko WireGuard“ produkto puslapyje dažnai reiškia vieną konkrečią programinės įrangos kartą.

Kelioninis maršrutizatorius su WireGuard klientu yra pigi maršrutizatoriaus modelio versija ir pagrįstas atsakymas keliems įrenginiams, kurie negali paleisti kliento. Tai vis tiek maršrutizatoriaus tunelis, todėl viskas, kas pasakyta apie svečių tinklus, IPv6 ir bendrą gedimą, galioja nepakeista.

Trečias variantas: mašina kaip tinklų sietuvas

Kliento bendrinimas iš nešiojamojo kompiuterio yra įmanomas, ir tai žmonės paprastai turi omenyje sakydami, kad pavertė nešiojamąjį kompiuterį maršrutizatoriumi.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Tai veikia tol, kol mašina nemiega, klientas nepersijungia į kitą profilį arba pačios mašinos ugniasienė neišmeta persiųstų paketų. Tada viskas už jos vienu metu praranda ryšį, ir gedimas atrodo kaip negyvas tinklas, o ne VPN problema.

Laboratorijai ar laikinam sprendimui tai tinka. Kaip nuolatinis sprendimas tai daro vieną nešiojamąjį kompiuterį vieninteliu namų ūkio gedimo tašku, ir paprastai baigiasi tuo, kad kažkas klausia, kodėl televizorius nustojo veikti, kai užsidarė dangtis.

Įeinančieji prievadai, DNS ir bendras gedimas

Įeinančios paslaugos juda kartu su tuneliu. Maršrutizatoriaus VPN paprastai sugadina prievadų persiuntimą LAN serveriui, o dinaminis DNS vardas turi rodyti į VPN išėjimą, o ne į IPT adresą, jei paslauga turi būti pasiekiama per tunelį. Kai kurie tiekėjai visai nesiūlo maršrutizuojamo įeinančio adreso, o tai tyliai užbaigia bet kurį planą, kuris juo rėmėsi.

DNS seka maršrutizatorių, kai maršrutizatorius valdo tunelį, o tai patogu tol, kol vienam įrenginiui reikia kito sprendėjo. Klientas kiekviename įrenginyje tai gali išreikšti; maršrutizatoriaus politika negali neskaidant tinklo į dvi dalis. Gedimas taip pat bendrinamas, nes vienas strigtis, viena pasibaigusi prenumerata ar vienas blogas įstumtas maršrutas atjungia kiekvieną įrenginį tuo pačiu metu.

Rinkitės maršrutizatoriaus modelį, kai įrenginiai negali paleisti klientų ir vienas išėjimas yra priimtinas. Rinkitės klientus kiekviename įrenginyje, kai politikos skiriasi, kai tiekėjui reikia protokolo, kurio maršrutizatorius neturi, arba kai paskyra neturi būti bendrinama. Jei mašina yra tinklų sietuvas, užsirašykite, kuri sąsaja dalijasi kuriuo tinklu, ir išbandykite atvejį „tunelis žemyn“, nes būtent tokioje būsenoje dauguma šių projektų pasirodo klaidingi.