VPN klients maršrutētājā vai servera režīms: ko katrs ļauj
Viena maršrutētāja loma sūta jūsu datplūsmu uz attālu izeju, otra ļauj jums atgriezties iekšā. Pirms jebkuras iespējošanas izlasiet izvēlnes, akreditācijas datus un atgriešanās ceļu.
Jūs piesakāties maršrutētājā, atverat VPN lapu un atrodat divas cilnes, kas izskatās kā viena un tā pati funkcija aprakstīta divreiz: viena grib profila failu no citurienes, otra grib, lai jūs ģenerētu sertifikātus un izvēlētos portu. Tie nav divi viena iestatījuma skati. Viena loma liek maršrutētājam zvanīt uz āru, otra — atbildēt, un viena ierīce var darīt abus, nevienai nepalīdzot otrai. Lūk, kā lasīt izvēlni un izlemt, kurā pusē jūs esat, pirms kaut ko iespējojat.
Atveriet VPN izvēlni un izlasiet lomu nosaukumus
Sāciet ar sadaļu virsrakstiem, nevis slēdžiem. Cilne ar apzīmējumu klients vai „pievienoties VPN pakalpojumam“ gaida importētu profilu, konfigurācijas failu vai kāda cita izdotu akreditācijas datu kopu. Cilne ar apzīmējumu serveris gaida, ka izveidosiet identitātes, izvēlēsities protokolu un portu un parasti eksportēsiet profilu katrai ierīcei, kas pievienosies.
Uzskatiet mārketinga rindu uz kastes par neapstiprinātu, līdz izvēlne tai atbilst. „VPN atbalstīts“ var nozīmēt klientu, serveri, protokola caurlaides palīgu, kas tikai pārsūta paketes ierīcei aiz maršrutētāja, vai savu attālinātās piekļuves programmu bez jebkāda standarta profila. Tikai programmaparatūras dokumentācija šos gadījumus atšķir, un modeļa numurs uz uzlīmes to nedara.
Klienta režīms: jūsu LAN iziet caur kāda cita izeju
Klienta režīmā maršrutētājs uzvedas kā portatīvais dators, kurā darbojas VPN programma. Tam vajadzīgs saderīgs protokols, attālinātā operatora profils vai akreditācijas dati un maršrutēšanas lēmums par to, kuras lejupējās ierīces izmanto tuneli. Daudzas programmaparatūras piedāvā politikas sarakstu, kurā jūs nosaucat avota adreses vai saskarnes, kas jāsūta pa tuneli, bet pārējās atstājat parastajā savienojumā.
Daļa, kas klusi neizdodas, ir attālā puse. Galapunktam, kuram pievienojaties, ir jāpārsūta interneta datplūsma jūsu vietā un jānodrošina atgriešanās ceļš, un tā ir pakalpojumu sniedzēja politika, nevis jūsu maršrutētāja iestatījums. Izvēlne, kas piedāvā tikai servera režīmu, nevar izveidot šo vērsto uz āru pakalpojumu, lai kā to konfigurētu, un pakalpojumu sniedzējs, kas atbalsta tikai savienojumus starp vietnēm, var veiksmīgi pievienot tuneli, bet izmest visu, ko pa to sūtāt.
Tālāk pārbaudiet, kā tunelis apstrādā DNS. Ja profils piespiež risinātāju, maršrutētājam tas jānodod lejupējiem klientiem; ja nē, klienti turpina izmantot pakalpojumu sniedzēja risinātāju un risina vārdus ārpus tuneļa, lai gan paketes iet iekšpusē. Ātra pārbaude no pievienota portatīvā datora: adresei, ko redzat IP atbalss lapā, jābūt izejai, un izmantotajai risinātāja adresei jābūt tai, ko nodrošināja tunelis.
Servera režīms: kāds cits ierodas jūsu LAN
Servera režīms apgriež virzienu. Maršrutētājs klausās, ceļojošā ierīce pievienojas, un tad maršrutētājs izlemj, kuriem mājas resursiem šis savienojums drīkst piekļūt. Šī ir loma, ko vēlaties NAS, laboratorijas mašīnai vai printerim, un tai ir priekšnosacījums, kāda klienta lomai nav: kaut kam no ārpuses jāspēj sasniegt klausītāju.
Tieši uz šī priekšnosacījuma apstājas vairums mājas uzstādījumu. Ja maršrutētājs atrodas aiz pakalpojumu sniedzēja paša vārtejas, VPN ports ir jāpārsūta no šīs vārtejas, vai arī maršrutētājs jāieliek tilta vai DMZ režīmā. Aiz operatora līmeņa NAT nav neviena ienākoša porta, ko pārsūtīt, tāpēc dizains ir jāmaina: izejošs tunelis no maršrutētāja uz releju, mitinātu galapunktu vai tīkla produktu. Serveris, kuram nevar piekļūt, nav nepareizi konfigurēts, tas ir nesasniedzams.
Identitātes arī atšķiras atkarībā no lomas. Mājsaimniecības klienta profils, kas visu sūta uz maksas izeju, ir viens kopīgs noslēpums, bet serverim, kas uzņem trīs tālruņus un portatīvo datoru, vajadzīgas četras identitātes, kuras varat atsaukt atsevišķi. Sertifikāti un atslēgas ir katrai ierīcei, un maršrutētāja eksporta lapai jādod viens fails katrai ierīcei, nevis viens fails visai mājsaimniecībai.
Pirms apņemšanās pārbaudiet precīzo ieviešanu
Netgate dokumentācija par VPN lomas izvēli šķir lomas šādi, un ir vērts izlasīt atbilstošo lapu jūsu programmaparatūrai, nevis spriest no cilņu nosaukumiem. Meklējiet trīs konkrētus faktus: kādus protokolus klients prot runāt, vai serveris atbalsta protokolu, ko izmanto jūsu ierīces, un vai maršrutēšanas politika aptver avota adreses, veselas saskarnes vai neko.
Pēc tam aplūkojiet atbalsta robežu. Patērētāju maršrutētājs ar klienta cilni, bet bez politikas saraksta, sūtīs katru ierīci pa tuneli, kas ir piemērots straumēšanas kastei un nepiemērots darba portatīvajam datoram, kuram vajadzīgs biroja tunelis. Maršrutētājs ar servera cilni, bet vienu kopīgu profilu, ir saprātīgs laboratorijas rīks un slikta izvēle ģimenei, jo vienas ierīces atsaukšana nozīmē visu konfigurācijas maiņu.
Izvēlieties lomu pēc tā, kur sākas datplūsma
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Pirms kaut ko citu maināt, izstaigājiet izvēlēto rindu no sākuma līdz beigām. Iespējojiet lomu, pievienojiet vienu klientu, apstipriniet adresi, ar kādu tas parādās, apstipriniet, kuru risinātāju tas izmanto, un apstipriniet atgriešanās ceļu pretējā virzienā. Ja maršrutētājam ir arī ugunsmūra lapa, pārbaudiet, vai jauno saskarni nebloķē noklusējuma noteikums, kas rakstīts laikā, kad tuneļa vēl nebija.
Kad abas lomas ir pieejamas un prasība patiešām ir abas, darbiniet tās kā atsevišķas funkcijas ar atsevišķu dokumentāciju. Viens maršrutētājs var zvanīt uz āru televizoram un vienlaikus pieņemt tālruņa savienojumu ar NAS, bet abas politikas nedrīkst dalīt apakštīklu, DNS iestatījumu vai ugunsmūra zonu, citādi pirmais labojums, kas veikts vienai, salauzīs otru.