Телефонот надвор од VPN? Тунел на рутерот наспроти клиент по уред

Лаптопот е поврзан на VPN, телефонот е на истото Wi-Fi, а телефонот сепак сурфа од ISP-адресата. Тоа не е грешка на клиентот: тунелот живее на машината што го завршува и ништо друго не го наследува по близина. Покриеноста се шири само кога рутерот сам ги врти клиентот, или кога машината намерно се претвора во порта за LAN. Кој модел го сакате одлучуваат три работи: протоколот што вашиот провајдер навистина го зборува, колку различно треба да се третираат уредите и кој дефект можете да го поднесете во девет навечер.

Што всушност покрива тунелот на рутерот

Кога тунелот завршува на рутерот, секој уред што рутира низ него го дели излезот. Тоа е привлечноста за телевизор, конзола или апарат што никогаш нема да врти клиент: ништо за инсталирање, ништо за одржување и едно место за промена на провајдер.

Покриеноста е условена на начини што ги изненадуваат луѓето. Гостинска мрежа или втор SSID со сопствена политика оди по патот што таа политика го одредува, не по тунелот. IPv6 патека може да заобиколи тунел што носи само IPv4. Уред со сопствена VPN апликација или сопствен шифриран резолвер целосно го игнорира рутерот. А сопствениот сообраќај на рутерот, вклучително ажурирања и DNS, ја следи неговата излезна политика, која е друг пат од проследениот сообраќај на LAN-от.

Проверката е иста во двата модели и трае една минута: прашајте два уреда која адреса ја гледа светот, па погледнете во листата врски на рутерот дали има тунел. Ако телефонот ја пријавува ISP-адресата додека рутерот покажува воспоставен тунел, телефонот не се рутира низ него, и никакво повторно поврзување тоа не го менува.

Каде победува клиентот по уред

Клиентите по уред победуваат штом барањата се разидат. Работен лаптоп може да бара корпоративен тунел во кој телефонот не смее да влезе; клиентот на провајдерот може да нуди поделен тунел по апликација, што рутерот не може да го изрази; конзолата можеби мора да остане надвор за да го задржи својот NAT тип. Секој уред и сам откажува, па една истечена претплата не ја замолчува целата куќа.

Акредитивите се поостриот аргумент. Рутер што се поврзува во името на сите држи една сметка, а секој човек на таа мрежа го наследува нејзиниот пристап. Ако намерата е проверка на идентитет по човек пред пристап до интернет, самиот тунел на рутерот тоа не може. Вообичаениот дизајн е captive portal што ја потврдува сметката и потоа го пушта клиентот во веќе воспоставен тунел, што е повеќе подвижни делови отколку што сакаат повеќето домови.

Поддршката за протоколи одлучува повеќе случаи од претпочитање

Потрошувачките рутери ги изложуваат само протоколите што ги испорачал производителот. Рутер со PPTP, L2TP или обичен IPsec не може да се поврзе со провајдер што објавува исклучиво OpenVPN или WireGuard профили, и никаква конфигурација тоа не го менува. Искрените опции се провајдер што зборува поддржан протокол, рутер со OpenWrt или друг фирмвер со клиентот што ви треба, или клиент на секој уред.

Обратниот случај е исто толку чест: рутер што поддржува OpenVPN не може да користи провајдер чија услуга зависи од сопствен клиент и негови трикови со рутирање. Прочитајте ја страницата на провајдерот за поддржани протоколи пред да купите хардвер и проверете ја верзијата на фирмверот, зашто 'поддржува WireGuard' на страница на производ често значи една одредена генерација на фирмвер.

Патниот рутер со WireGuard клиент е евтината верзија на рутерскиот модел и разумен одговор за неколку уреди што не можат да вртат клиент. Се уште е тунел на рутерот, па се погоре за гостински мрежи, IPv6 и заеднички дефект важи непроменето.

Третата опција: машина како порта

Делењето клиент од лаптоп е можно, и тоа луѓето обично го мислат кога велат дека го претвориле лаптопот во рутер.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Работи додека машината не заспие, клиентот не се поврзе повторно во друг профил или сопствениот фирмвер на машината не ги отфрли проследените пакети. Тогаш се зад неа ја губи врската одеднаш, а дефектот изгледа како мртва мрежа, а не како VPN проблем.

За лабораторија или привремена поставка е во ред. Како трајно решение прави еден лаптоп единствената точка на дефект за домаќинство, и обично завршува така што некој се прашува зошто телевизорот престанал да работи кога се затворил капакот.

Влезни порти, DNS и дефектот што го делите

Влезните услуги се селат со тунелот. Рутер VPN обично го крши проследувањето порти за LAN сервер, а динамичко DNS име мора да покажува на VPN излезот, а не на ISP-адресата, ако услугата треба да биде достапна низ тунелот. Некои провајдери воопшто не нудат рутабилна влезна адреса, што тивко го завршува секој план што се потпирал на неа.

DNS го следи рутерот кога рутерот го поседува тунелот, што е погодно додека на еден уред не му треба друг резолвер. Клиентот по уред може тоа да го изрази; рутерската политика не може без да ја подели мрежата на две. Дефектот исто така се дели, зашто еден пад, една истечена претплата или една лоша турната рута го исклучува секој уред во истиот момент.

Изберете го рутерскиот модел кога уредите не можат да вртат клиенти и еден излез е прифатлив. Изберете клиенти по уред кога политиките се разликуваат, кога на провајдерот му треба протокол што рутерот го нема или кога сметката не смее да се дели. Ако машината е порта, запишете кој интерфејс ја дели која мрежа и тестирајте го случајот 'тунел паднат', зашто тоа е состојбата во која повеќето од овие дизајни излегуваат погрешни.