VPN клиент на рутерот или серверски режим: што овозможува секој

Се најавувате на рутерот, ја отворате страницата за VPN и наоѓате две картички што изгледаат како истата функција опишана двапати: едната сака датотека со профил од друго место, другата сака да генерирате сертификати и да изберете порта. Тоа не се два приказа на едно поставување. Едната улога го тера рутерот да ѕвони кон надвор, другата го тера да одговара, и еден уред може да го прави и едното и другото, без едното да му помага на другото. Еве како да го читате менито и да одлучите на која страна сте пред да вклучите нешто.

Отворете го менито за VPN и прочитајте ги имињата на улогите

Започнете со насловите на одделите, а не со прекинувачите. Картичка означена како клиент или „поврзување со VPN услуга“ очекува увезен профил, конфигурациска датотека или сет акредитиви издадени од некој друг. Картичка означена како сервер очекува да ги создадете идентитетите, да изберете протокол и порта и обично да извезете профил за секој уред што ќе се поврзе.

Третирајте ја маркетинг реченицата на кутијата како непотврдена сѐ додека менито не ѝ одговара. „VPN поддржан“ може да значи клиент, сервер, помошник за пропуштање на протокол што само препраќа пакети до уред зад рутерот, или сопствена апликација за далечински пристап без никаков стандарден профил. Само документацијата на фирмверот ги разликува тие случаи, а бројот на моделот на налепницата не.

Клиентски режим: вашата локална мрежа излегува низ туѓ излез

Во клиентски режим рутерот се однесува како пренослив компјутер што извршува VPN апликација. Му требаат компатибилен протокол, профил или акредитиви од далечинскиот оператор и одлука за рутирање кои уреди подолу го користат тунелот. Многу фирмвери нудат список со политики каде ги именувате изворните адреси или интерфејсите што треба да се испраќаат низ тунелот, а остатокот го оставате на нормалната врска.

Делот што тивко откажува е далечната страна. Крајната точка на која се поврзувате мора да го препраќа интернет сообраќајот наместо вас и да обезбеди повратна патека, а тоа е политика кај провајдерот, не поставување на вашиот рутер. Мени што нуди само серверски режим не може да ја изгради оваа надворешна услуга, како и да е конфигурирано, а провајдер што поддржува само врски меѓу локации може успешно да го поврзе тунелот, но да го отфрли сѐ што испраќате низ него.

Следно проверете како тунелот се справува со DNS. Ако профилот турка резолвер, рутерот треба да го предаде тој резолвер на клиентите подолу; ако не, клиентите продолжуваат да го користат резолверот на провајдерот и ги решаваат имињата надвор од тунелот иако пакетите одат внатре. Брза проверка од поврзан пренослив компјутер: адресата што ја гледате на страница за IP ехо треба да биде излезот, а адресата на резолверот што се користи треба да биде онаа што ја дал тунелот.

Серверски режим: некој друг пристигнува во вашата локална мрежа

Серверскиот режим ја превртува насоката. Рутерот слуша, патувачкиот уред се поврзува, и потоа рутерот одлучува до кои домашни ресурси може да стигне таа врска. Ова е улогата што ја сакате за NAS, лабораториски компјутер или печатач, и има предуслов што клиентската улога го нема: нешто однадвор мора да може да стигне до слушачот.

Токму на тој предуслов запираат повеќето домашни поставки. Ако рутерот стои зад сопствениот портал на провајдерот, VPN портата мора да се пренасочи од тој портал, или рутерот да се стави во режим на мост или DMZ. Зад NAT на операторско ниво воопшто нема влезна порта за пренасочување, па дизајнот мора да се смени: излезен тунел од рутерот до реле, хостирана крајна точка или мрежен производ. Сервер до кој не може да се стигне не е погрешно конфигуриран, тој е недостапен.

Идентитетите исто така се разликуваат по улога. Домашниот клиентски профил што сѐ испраќа на платен излез е една заедничка тајна, додека серверот што прима три телефони и пренослив компјутер бара четири идентитети што можете одделно да ги отповикате. Сертификатите и клучевите се по уред, а страницата за извоз на рутерот треба да ви даде една датотека по уред, а не една датотека за целото домаќинство.

Проверете ја точната имплементација пред да се обврзете

Документацијата на Netgate за избор на VPN улога ги одвојува улогите на овој начин, и вреди да ја прочитате соодветната страница за вашиот фирмвер наместо да заклучувате од имињата на картичките. Барајте три конкретни факти: кои протоколи може да ги зборува клиентот, дали серверот го поддржува протоколот што го користат вашите уреди, и дали политиката за рутирање ги покрива изворните адреси, цели интерфејси или ништо.

Потоа погледнете ја границата на поддршка. Потрошувачки рутер со картичка за клиент, но без список со политики, ќе го испрати секој уред низ тунелот, што е во ред за уред за стриминг, а погрешно за работен пренослив компјутер на кој му треба канцеларискиот тунел. Рутер со картичка за сервер, но со еден заеднички профил, е разумна лабораториска алатка и лош избор за семејство, бидејќи отповикувањето на еден уред значи менување на конфигурацијата на сите.

Изберете ја улогата според тоа каде започнува сообраќајот

Поминете го избраниот ред од почеток до крај пред да смените нешто друго. Вклучете ја улогата, поврзете еден клиент, потврдете ја адресата под која се појавува, потврдете кој резолвер го користи и потврдете ја повратната патека во спротивната насока. Ако рутерот има и страница за огнен ѕид, проверете дали новиот интерфејс не е блокиран од стандардно правило напишано кога тунелот сѐ уште не постоел.

Кога двете улоги се достапни и барањето навистина е за двете, управувајте ги како одделни функции со одделна документација. Еден рутер може да ѕвони кон надвор за телевизорот и истовремено да прима телефонска врска со NAS, но двете политики не смеат да делат подмрежа, DNS поставување или зона на огнен ѕид, инаку првата промена што ќе ја направите за едната ќе ја расипе другата.