Tālrunis ārpus VPN? Maršrutētāja tunelis vai klients katrā ierīcē

Klēpjdators ir savienots ar VPN, tālrunis ir tajā pašā Wi-Fi tīklā, un tālrunis tomēr pārlūko no ISP adreses. Tā nav klienta kļūda: tunelis dzīvo mašīnā, kas to pabeidz, un nekas cits to nemanto tuvuma dēļ. Pārklājums izplatās tikai tad, kad maršrutētājs pats palaiž klientu, vai kad mašīna tiek apzināti pārvērsta par LAN vārteju. Kuru modeli vēlaties, nosaka trīs lietas: protokols, ko jūsu pakalpojumu sniedzējs patiešām runā, cik atšķirīgi ierīces ir jāapstrādā, un kādu kļūmi jūs varat paciest deviņos vakarā.

Ko maršrutētāja tunelis patiešām aptver

Kad tunelis beidzas maršrutētājā, katra ierīce, kas maršrutē caur to, dala izeju. Tas ir vilinājums televizoram, konsolei vai ierīcei, kas nekad nepalaidīs klientu: nekas nav jāinstalē, nekas nav jāatjauno, un viena vieta, kur mainīt pakalpojumu sniedzēju.

Pārklājums ir nosacīts tādos veidos, kas cilvēkus pārsteidz. Viesu tīkls vai otrs SSID ar savu politiku iet pa ceļu, ko šī politika nosaka, nevis pa tuneli. IPv6 ceļš var apiet tuneli, kas pārvadā tikai IPv4. Ierīce ar savu VPN lietotni vai savu šifrēto risinātāju pilnībā ignorē maršrutētāju. Un paša maršrutētāja trafiks, atjauninājumi un DNS ieskaitot, seko tā izejas politikai, kas ir cits ceļš nekā LAN pārsūtītais trafiks.

Pārbaude abos modeļos ir vienāda un aizņem minūti: pajautājiet divām ierīcēm, kādu adresi redz pasaule, un pēc tam apskatiet maršrutētāja savienojumu sarakstā tuneli. Ja tālrunis ziņo ISP adresi, kamēr maršrutētājs rāda izveidotu tuneli, tālrunis netiek maršrutēts caur to, un nekāda atkārtota savienošana to nemainīs.

Kur uzvar klients katrā ierīcē

Klienti katrā ierīcē uzvar, tiklīdz prasības atšķiras. Darba klēpjdatoram var būt vajadzīgs uzņēmuma tunelis, kuram tālrunis nedrīkst pievienoties; pakalpojumu sniedzēja klients var piedāvāt dalītu tuneli pa lietotnēm, ko maršrutētājs nespēj izteikt; konsolei var būt jāpaliek ārpusē, lai saglabātu savu NAT tipu. Katra ierīce arī pati sabojājas, tāpēc viena beigusies abonementa termiņa dēļ neapklust visa māja.

Akreditācijas dati ir asākais arguments. Maršrutētājs, kas savienojas visu vārdā, tur vienu kontu, un katra persona šajā tīklā manto tā piekļuvi. Ja nolūks ir autentifikācija katrai personai pirms interneta piekļuves, maršrutētāja tunelis viens pats to nespēj. Ierastais dizains ir captive portal, kas apstiprina kontu un pēc tam ielaiž klientu jau izveidotā tunelī, kas ir vairāk kustīgu daļu, nekā vēlas vairums mājsaimniecību.

Protokolu atbalsts izšķir vairāk gadījumu nekā izvēle

Patērētāju maršrutētāji piedāvā tikai tos protokolus, ko piegādājis ražotājs. Maršrutētājs ar PPTP, L2TP vai vienkāršu IPsec nevar savienoties ar pakalpojumu sniedzēju, kas publicē tikai OpenVPN vai WireGuard profilus, un nekāda konfigurācija to nemaina. Godīgās iespējas ir pakalpojumu sniedzējs, kas runā atbalstītu protokolu, maršrutētājs ar OpenWrt vai citu programmaparatūru un vajadzīgo klientu, vai klients katrā ierīcē.

Pretējais gadījums ir tikpat izplatīts: maršrutētājs, kas atbalsta OpenVPN, nevar izmantot pakalpojumu sniedzēju, kura pakalpojums ir atkarīgs no sava klienta un tā maršrutēšanas trikiem. Pirms aparatūras iegādes izlasiet pakalpojumu sniedzēja atbalstīto protokolu lapu un pārbaudiet programmaparatūras versiju, jo „atbalsta WireGuard“ produkta lapā bieži nozīmē vienu konkrētu programmaparatūras paaudzi.

Ceļojumu maršrutētājs ar WireGuard klientu ir lētā maršrutētāja modeļa versija un saprātīga atbilde dažām ierīcēm, kas nespēj palaist klientu. Tas joprojām ir maršrutētāja tunelis, tāpēc viss iepriekš teiktais par viesu tīkliem, IPv6 un kopīgu kļūmi attiecas bez izmaiņām.

Trešā iespēja: mašīna kā vārteja

Klienta kopīgošana no klēpjdatora ir iespējama, un to cilvēki parasti domā, runājot par klēpjdatora pārvēršanu maršrutētājā.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Tas darbojas, līdz mašīna aizmieg, klients pārslēdzas uz citu profilu vai mašīnas pašas ugunsmūris izmet pārsūtītos paketes. Tad viss aiz tās uzreiz zaudē savienojumu, un kļūme izskatās kā miris tīkls, nevis VPN problēma.

Laboratorijai vai pagaidu iestatījumam tas ir derīgi. Kā pastāvīgs risinājums tas padara vienu klēpjdatoru par vienīgo mājsaimniecības kļūmes punktu, un tas parasti beidzas ar to, ka kāds brīnās, kāpēc televizors pārstāja darboties, kad vāks aizvērās.

Ienākošie porti, DNS un kopīgā kļūme

Ienākošie pakalpojumi pārvietojas kopā ar tuneli. Maršrutētāja VPN parasti salauž portu pāradresāciju LAN serverim, un dinamiskam DNS vārdam jānorāda uz VPN izeju, nevis uz ISP adresi, ja pakalpojumam jābūt sasniedzamam caur tuneli. Daži pakalpojumu sniedzēji vispār nepiedāvā maršrutējamu ienākošo adresi, kas klusi izbeidz jebkuru plānu, kas uz tādu paļāvās.

DNS seko maršrutētājam, kad maršrutētājs pārvalda tuneli, kas ir ērti, līdz vienai ierīcei vajag citu risinātāju. Klients katrā ierīcē to spēj izteikt; maršrutētāja politika to nespēj, nesadalot tīklu divos. Arī kļūme tiek dalīta, jo viens avārija, viens beidzies abonements vai viens slikts iespiests maršruts atvieno katru ierīci tajā pašā mirklī.

Izvēlieties maršrutētāja modeli, kad ierīces nevar palaist klientus un viena izeja ir pieņemama. Izvēlieties klientus katrā ierīcē, kad politikas atšķiras, kad pakalpojumu sniedzējam vajag protokolu, kura maršrutētājam nav, vai kad konts nedrīkst tikt koplietots. Ja mašīna ir vārteja, pierakstiet, kura saskarne dala kuru tīklu, un pārbaudiet „tunelis nost“ gadījumu, jo tieši tādā stāvoklī lielākā daļa šo dizainu izrādās nepareizi.