Telefon tertinggal di luar VPN? Terowong penghala atau klien setiap peranti

Komputer riba disambungkan ke VPN, telefon berada pada Wi-Fi yang sama, dan telefon masih melayari dari alamat ISP. Ini bukan pepijat klien: terowong hidup pada mesin yang menamatkannya, dan tiada apa-apa lain mewarisinya melalui kedekatan. Liputan hanya merebak apabila penghala sendiri menjalankan klien, atau apabila sesuatu mesin sengaja dijadikan get laluan untuk LAN. Model mana yang anda mahukan ditentukan oleh tiga perkara: protokol yang benar-benar dituturkan pembekal anda, betapa berbezanya peranti perlu dirawat, dan kegagalan apa yang mampu anda tanggung pada pukul sembilan malam.

Apa yang sebenarnya diliputi terowong penghala

Apabila terowong berakhir pada penghala, setiap peranti yang menghalakan melaluinya berkongsi jalan keluar. Itulah tarikan bagi televisyen, konsol atau perkakas yang tidak akan pernah menjalankan klien: tiada apa untuk dipasang, tiada apa untuk dikemas kini, dan satu tempat untuk menukar pembekal.

Liputan adalah bersyarat dalam cara yang mengejutkan orang. Rangkaian tetamu atau SSID kedua dengan dasarnya sendiri mengikut laluan yang ditentukan dasar itu, bukan terowong. Laluan IPv6 boleh memintas terowong yang hanya membawa IPv4. Peranti dengan aplikasi VPN sendiri atau penyelesai tersulitnya sendiri mengabaikan penghala sepenuhnya. Dan trafik penghala sendiri, termasuk kemas kini dan DNS, mengikut dasar keluarnya, yang merupakan laluan berbeza daripada trafik LAN yang diteruskan.

Pemeriksaan adalah sama dalam kedua-dua model dan mengambil masa seminit: tanya dua peranti alamat apa yang dilihat dunia, kemudian lihat senarai sambungan penghala untuk terowong itu. Jika telefon melaporkan alamat ISP sementara penghala menunjukkan terowong yang terbentuk, telefon tidak dihalakan melaluinya, dan tiada penyambungan semula akan mengubahnya.

Di mana klien setiap peranti menang

Klien setiap peranti menang sebaik sahaja keperluan berbeza. Komputer riba kerja mungkin memerlukan terowong korporat yang telefon tidak boleh sertai; klien pembekal mungkin menawarkan terowong berpecah mengikut aplikasi, yang tidak dapat diungkapkan oleh penghala; konsol mungkin perlu kekal di luar untuk mengekalkan jenis NAT-nya. Setiap peranti juga gagal sendiri, jadi satu langganan tamat tempoh tidak membisukan seluruh rumah.

Kelayakan ialah hujah yang lebih tajam. Penghala yang bersambung bagi pihak semua orang memegang satu akaun, dan setiap orang dalam rangkaian itu mewarisi aksesnya. Jika niatnya ialah pengesahan setiap orang sebelum akses internet, terowong penghala sahaja tidak dapat melakukannya. Reka bentuk biasa ialah portal tawanan yang mengesahkan akaun dan kemudian melepaskan klien ke dalam terowong yang sudah terbentuk, yang merupakan lebih banyak bahagian bergerak daripada yang diingini oleh kebanyakan rumah.

Sokongan protokol menentukan lebih banyak kes daripada keutamaan

Penghala pengguna hanya mendedahkan protokol yang dibekalkan oleh pengeluar. Penghala dengan PPTP, L2TP atau IPsec biasa tidak boleh bersambung ke pembekal yang hanya menerbitkan profil OpenVPN atau WireGuard, dan tiada konfigurasi mengubahnya. Pilihan jujurnya ialah pembekal yang menuturkan protokol yang disokong, penghala dengan OpenWrt atau perisian tegar lain dengan klien yang anda perlukan, atau klien pada setiap peranti.

Kes sebaliknya sama biasa: penghala yang berkemampuan OpenVPN tidak boleh menggunakan pembekal yang perkhidmatannya bergantung pada klien proprietari dan helah penghalannya sendiri. Baca halaman protokol yang disokong pembekal sebelum membeli perkakasan, dan semak versi perisian tegar, kerana «menyokong WireGuard» pada halaman produk selalunya bermaksud satu generasi perisian tegar tertentu.

Penghala perjalanan dengan klien WireGuard ialah versi murah model penghala dan jawapan yang munasabah untuk beberapa peranti yang tidak dapat menjalankan klien. Ia masih terowong penghala, jadi semua di atas tentang rangkaian tetamu, IPv6 dan kegagalan bersama terpakai tanpa perubahan.

Pilihan ketiga: mesin sebagai get laluan

Berkongsi klien daripada komputer riba adalah mungkin, dan itulah yang biasanya dimaksudkan orang apabila mereka mengatakan mereka menukar komputer riba menjadi penghala.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Ia berfungsi sehingga mesin tidur, klien menyambung semula ke profil lain atau tembok api mesin itu sendiri menggugurkan paket yang diteruskan. Kemudian semua di belakangnya kehilangan sambungan serentak, dan kegagalan itu kelihatan seperti rangkaian mati dan bukan masalah VPN.

Untuk makmal atau persediaan sementara ia memadai. Sebagai aturan kekal, ia menjadikan satu komputer riba satu-satunya titik kegagalan sesebuah isi rumah, dan biasanya berakhir dengan seseorang tertanya-tanya mengapa televisyen berhenti berfungsi apabila penutup ditutup.

Port masuk, DNS dan kegagalan yang dikongsi

Perkhidmatan masuk bergerak bersama terowong. VPN pada penghala biasanya merosakkan pemajuan port untuk pelayan LAN, dan nama DNS dinamik mesti menunjuk ke jalan keluar VPN dan bukan ke alamat ISP jika perkhidmatan itu perlu boleh dicapai melalui terowong. Sesetengah pembekal tidak menawarkan alamat masuk yang boleh dihalakan langsung, yang menamatkan secara senyap mana-mana rancangan yang bergantung padanya.

DNS mengikut penghala apabila penghala memiliki terowong, yang memudahkan sehingga satu peranti memerlukan penyelesai lain. Klien setiap peranti boleh menyatakannya; dasar penghala tidak boleh tanpa membelah rangkaian kepada dua. Kegagalan juga dikongsi, kerana satu ranap, satu langganan tamat tempoh atau satu laluan buruk yang ditolak memutuskan setiap peranti pada saat yang sama.

Pilih model penghala apabila peranti tidak dapat menjalankan klien dan satu jalan keluar boleh diterima. Pilih klien setiap peranti apabila dasar berbeza, apabila pembekal memerlukan protokol yang tiada pada penghala, atau apabila akaun tidak boleh dikongsi. Jika sesuatu mesin ialah get laluan, catat antara muka mana yang berkongsi rangkaian mana dan uji kes «terowong mati», kerana itulah keadaan di mana kebanyakan reka bentuk ini ternyata salah.