Утас VPN-ээс гадуур үлдсэн үү? Роутерийн туннель эсвэл төхөөрөмж бүрийн клиент

Зөөврийн компьютер VPN-д холбогдсон, утас нь ижил Wi-Fi сүлжээнд байгаа ч утас ISP хаягаас вэб үзэж байна. Энэ нь клиентийн алдаа биш: туннель нь түүнийг дуусгадаг машин дээр амьдардаг бөгөөд өөр юу ч ойролцоо байснаар түүнийг өвлөхгүй. Хамрах хүрээ нь зөвхөн роутер өөрөө клиентийг ажиллуулах үед, эсвэл машиныг санаатайгаар LAN-ийн гарц болгох үед л тархдаг. Аль загварыг хүсэхээ гурван зүйл шийднэ: таны үйлчилгээ үзүүлэгчийн үнэхээр ярьдаг протокол, төхөөрөмжүүдийг хэр өөрөөр зохицуулах шаардлагатай вэ, оройн есөн цагт ямар доголдлыг тэвчих вэ.

Роутерийн туннель үнэндээ юуг хамардаг вэ

Туннель роутер дээр дуусахад түүгээр чиглүүлдэг төхөөрөмж бүр гарах замыг хуваалцдаг. Энэ нь телевизор, консол эсвэл хэзээ ч клиент ажиллуулахгүй төхөөрөмжид татагддаг: суулгах юу ч байхгүй, шинэчлэх юу ч байхгүй, үйлчилгээ үзүүлэгчийг солих нэг газар байна.

Хамрах хүрээ нь хүмүүсийг гайхшруулдаг аргаар нөхцөлтэй. Зочны сүлжээ эсвэл өөрийн бодлоготой хоёр дахь SSID нь тэр бодлогоор тодорхойлогдсон замаар явдаг, туннелиар биш. IPv6 зам нь зөвхөн IPv4 зөөдөг туннелийг тойрч болно. Өөрийн VPN апп эсвэл өөрийн шифрлэсэн шийдэгчтэй төхөөрөмж роутерийг бүрэн үл тоомсорлодог. Харин роутерийн өөрийн трафик, шинэчлэлт, DNS-ийг оруулаад, түүний гарах бодлогыг дагадаг бөгөөд энэ нь LAN-ийн дамжуулагдсан трафикаас өөр зам юм.

Шалгалт хоёр загварт адил бөгөөд нэг минут зарцуулна: хоёр төхөөрөмжөөс ертөнц ямар хаяг хардагийг асуугаад, дараа нь роутерийн холболтын жагсаалтаас туннелийг харна. Хэрэв утас ISP хаягийг мэдээлж, роутер тогтоосон туннель харуулж байвал утас түүгээр чиглэгдэхгүй бөгөөд ямар ч дахин холболт үүнийг өөрчлөхгүй.

Төхөөрөмж бүрийн клиент хаана ялдаг вэ

Төхөөрөмж бүрийн клиентүүд шаардлага зөрөх тэр үед ялдаг. Ажлын зөөврийн компьютерт утас орох ёсгүй корпорацийн туннель хэрэгтэй байж болно; үйлчилгээ үзүүлэгчийн клиент аппаар тусгаарласан туннель санал болгож болно, роутер үүнийг илэрхийлж чадахгүй; консол NAT төрлөө хадгалахын тулд гадаа үлдэх шаардлагатай байж болно. Төхөөрөмж бүр өөрөө ч гэмтдэг тул нэг хугацаа дууссан захиалга бүх гэрийг дуугүй болгохгүй.

Нэвтрэх мэдээлэл бол илүү хурц аргумент. Бүгдийн өмнөөс холбогддог роутер нэг бүртгэл барьдаг бөгөөд тэр сүлжээний хүн бүр түүний хандалтыг өвлөдөг. Хэрэв зорилго нь интернетэд хандахын өмнө хүн бүрийг баталгаажуулах бол роутерийн туннель ганцаараа үүнийг хийж чадахгүй. Ердийн шийдэл нь бүртгэлийг баталгаажуулж, дараа нь клиентийг аль хэдийн тогтоосон туннель руу оруулдаг captive портал бөгөөд энэ нь ихэнх гэрүүдийн хүсэхээс илүү олон хөдөлгөөнт хэсэг юм.

Протоколын дэмжлэг сонголтоос илүү олон тохиолдлыг шийддэг

Хэрэглэгчийн роутерууд зөвхөн үйлдвэрлэгчийн нийлүүлсэн протоколуудыг санал болгодог. PPTP, L2TP эсвэл энгийн IPsec бүхий роутер зөвхөн OpenVPN эсвэл WireGuard профайл нийтэлдэг үйлчилгээ үзүүлэгчтэй холбогдож чадахгүй бөгөөд ямар ч тохиргоо үүнийг өөрчлөхгүй. Шударга сонголтууд нь дэмжигдсэн протоколоор ярьдаг үйлчилгээ үзүүлэгч, шаардлагатай клиент бүхий OpenWrt эсвэл өөр програм хангамжтай роутер, эсвэл төхөөрөмж бүрийн клиент юм.

Эсрэг тохиолдол мөн адил түгээмэл: OpenVPN чадвартай роутер нь үйлчилгээ нь өөрийн клиент болон өөрийн чиглүүлэлтийн аргуудаас хамаардаг үйлчилгээ үзүүлэгчийг ашиглаж чадахгүй. Техник хангамж худалдан авахаас өмнө үйлчилгээ үзүүлэгчийн дэмжигдсэн протоколын хуудсыг уншиж, програм хангамжийн хувилбарыг шалгаарай, учир нь бүтээгдэхүүний хуудсанд байх «WireGuard дэмждэг» гэдэг нь ихэвчлэн нэг тодорхой програм хангамжийн үеийг илэрхийлдэг.

WireGuard клиент бүхий аялалын роутер нь роутерийн загварын хямд хувилбар бөгөөд клиент ажиллуулж чадахгүй цөөн төхөөрөмжид боломжийн хариулт юм. Энэ нь одоо ч роутерийн туннель тул зочны сүлжээ, IPv6, нийтлэг доголдлын тухай дээрх бүхэн өөрчлөлтгүй үйлчилнэ.

Гурав дахь сонголт: машин гарц болгон

Клиентийг зөөврийн компьютерээс хуваалцах боломжтой бөгөөд хүмүүс зөөврийн компьютерээ роутер болголоо гэх үед ихэвчлэн үүнийг хэлдэг.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Машин унтах, клиент өөр профайл руу дахин холбогдох, эсвэл машины өөрийн галт хана дамжуулагдсан пакетуудыг хаях хүртэл ажилладаг. Тэгвэл түүний арын бүхэн нэгэн зэрэг холболтоо алдаж, доголдол VPN-ийн асуудал биш харин үхсэн сүлжээ мэт харагдана.

Лаборатори эсвэл түр зуурын тохиргоонд тохиромжтой. Байнгын шийдэл болгон нэг зөөврийн компьютерээ өрхийн цорын ганц эвдрэлийн цэг болгодог бөгөөд ихэвчлэн таг хаагдахад телевизор яагаад ажиллахаа болив гэж хэн нэгэн гайхаж дуусдаг.

Орох портууд, DNS болон нийтлэг доголдол

Орох үйлчилгээнүүд туннельтай хамт нүүдэг. Роутерийн VPN нь ихэвчлэн LAN серверийн порт дамжуулалтыг эвддэг бөгөөд динамик DNS нэр нь үйлчилгээ туннелээр хүртээмжтэй байх ёстой бол ISP хаяг руу биш, VPN-ийн гаралт руу заах ёстой. Зарим үйлчилгээ үзүүлэгчид огт чиглүүлэх боломжтой орох хаяг санал болгодоггүй бөгөөд энэ нь түүнд тулгуурласан аливаа төлөвлөгөөг чимээгүйгээр дуусгадаг.

DNS нь роутер туннелийг эзэмших үед түүнийг дагадаг бөгөөд нэг төхөөрөмжид өөр шийдэгч хэрэгтэй болох хүртэл тохиромжтой. Төхөөрөмж бүрийн клиент үүнийг илэрхийлж чадна; роутерийн бодлого сүлжээг хоёр хуваахгүйгээр үүнийг хийж чадахгүй. Доголдол ч мөн нийтлэг, учир нь нэг уналт, нэг хугацаа дууссан захиалга эсвэл нэг муу түлхэгдсэн чиглэл төхөөрөмж бүрийг нэг мөчид салгадаг.

Төхөөрөмжүүд клиент ажиллуулж чадахгүй, нэг гарах зам хүлээн зөвшөөрөгдөх үед роутерийн загварыг сонгоно уу. Бодлогууд ялгаатай, үйлчилгээ үзүүлэгчид роутерт байхгүй протокол хэрэгтэй, эсвэл бүртгэлийг хуваалцах ёсгүй үед төхөөрөмж бүрийн клиентийг сонгоно уу. Хэрэв машин гарц бол аль интерфейс аль сүлжээг хуваалцахыг бичиж, «туннель унасан» тохиолдлыг шалгаарай, учир нь ийм төслүүдийн ихэнх нь яг энэ байдалд буруу болж хувирдаг.