VPN-klient på ruteren eller servermodus: hva hver av dem muliggjør

Du logger på ruteren, åpner VPN-siden og finner to faner som ser ut som den samme funksjonen beskrevet to ganger: den ene vil ha en profilfil fra et annet sted, den andre vil at du skal generere sertifikater og velge en port. Dette er ikke to visninger av én innstilling. Den ene rollen får ruteren til å ringe ut, den andre får den til å svare, og én boks kan gjøre begge deler uten at den ene hjelper den andre. Her er hvordan du leser menyen og bestemmer hvilken side du er på før du aktiverer noe.

Åpne VPN-menyen og les rollenavnene

Start med seksjonsoverskriftene i stedet for bryterne. En fane merket klient eller «koble til en VPN-tjeneste» forventer en importert profil, en konfigurasjonsfil eller et sett med påloggingsdetaljer utstedt av noen andre. En fane merket server forventer at du oppretter identitetene, velger protokoll og port og vanligvis eksporterer en profil for hver enhet som skal koble til.

Behandle markedsføringslinjen på esken som ubekreftet til menyen stemmer med den. «VPN støttet» kan bety en klient, en server, en protokollgjennomgangshjelper som bare videresender pakker til en enhet bak ruteren, eller en egen fjern tilgang-app uten noen standardprofil i det hele tatt. Bare fastvaredokumentasjonen skiller mellom disse tilfellene, og modellnummeret på klistremerket gjør det ikke.

Klientmodus: LAN-et ditt går ut gjennom noen andres utgang

I klientmodus oppfører ruteren seg som en bærbar PC som kjører en VPN-app. Den trenger en kompatibel protokoll, en profil eller påloggingsdetaljer fra den eksterne operatøren, og en rutingbeslutning om hvilke nedstrømsenheter som bruker tunnelen. Mange fastvarer tilbyr en policy-liste der du navngir kildeadressene eller grensesnittene som skal sendes gjennom tunnelen, og lar resten bli på den vanlige tilkoblingen.

Delen som feiler i stillhet, er den eksterne siden. Endepunktet du kobler til, må videresende internettrafikk for deg og gi en returvei, og det er en policy hos leverandøren, ikke en innstilling på ruteren din. En meny som bare tilbyr servermodus, kan ikke bygge denne utgående tjenesten, uansett hvordan den konfigureres, og en leverandør som bare støtter område-til-område-koblinger, kan koble tunnelen vellykket men likevel forkaste alt du sender gjennom den.

Sjekk deretter hvordan tunnelen håndterer DNS. Hvis profilen skyver en resolver, bør ruteren gi den resolverserveren videre til nedstrømsklienter; hvis ikke, fortsetter klientene å bruke leverandørens resolver og løser navn utenfor tunnelen selv om pakkene går inni. En rask sjekk fra en tilkoblet bærbar PC: adressen du ser på en IP-ekko-side, bør være utgangen, og resolveradressen som brukes, bør være den tunnelen leverte.

Servermodus: noen andre ankommer i LAN-et ditt

Servermodus snur retningen. Ruteren lytter, den reisende enheten kobler til, og deretter avgjør ruteren hvilke hjemmeressurser den tilkoblingen kan nå. Dette er rollen du vil ha for en NAS, en laboratoriemaskin eller en skriver, og den har en forutsetning som klientrollen ikke har: noe utenfra må kunne nå lytteren.

Det er på den forutsetningen de fleste hjemmeoppsett stopper. Hvis ruteren står bak leverandørens egen gateway, må VPN-porten videresendes fra den gatewayen, eller ruteren må settes i bro- eller DMZ-modus. Bak carrier-grade NAT finnes det ingen innkommende port å videresende i det hele tatt, så designet må endres: en utgående tunnel fra ruteren til et relé, et driftet endepunkt eller et mesh-produkt. En server som ikke kan nås, er ikke feilkonfigurert, den er uoppnåelig.

Identiteter varierer også etter rolle. En husstands klientprofil som sender alt til en betalt utgang, er én delt hemmelighet, mens en server som slipper inn tre telefoner og en bærbar PC, trenger fire identiteter du kan tilbakekalle hver for seg. Sertifikater og nøkler er per enhet, og eksportsiden på ruteren bør gi deg én fil per enhet i stedet for én fil for hele husstanden.

Sjekk den nøyaktige implementasjonen før du forplikter deg

Netgates dokumentasjon om å velge en VPN-rolle skiller rollene på denne måten, og det er verdt å lese den tilsvarende siden for fastvaren din i stedet for å slutte det fra fanenavnene. Se etter tre konkrete fakta: hvilke protokoller klienten kan snakke, om serveren støtter protokollen enhetene dine bruker, og om rutingpolicyen dekker kildeadresser, hele grensesnitt eller ingenting.

Se deretter på støttegrensen. En forbruker-ruter med klientfane men uten policy-liste vil sende hver enhet gjennom tunnelen, noe som er greit for en strømmeboks og feil for en arbeidsbærbar PC som trenger kontortunnelen. En ruter med serverfane men én delt profil er et rimelig laboratorieverktøy og et dårlig valg for en familie, fordi tilbakekalling av én enhet betyr å endre konfigurasjonen til alle.

Velg rollen etter hvor trafikken starter

Gå gjennom den valgte raden fra start til slutt før du endrer noe annet. Aktiver rollen, koble til én klient, bekreft adressen den vises som, bekreft hvilken resolver den bruker, og bekreft returveien i motsatt retning. Hvis ruteren også har en brannmurside, kontroller at det nye grensesnittet ikke blokkeres av en standardregel som ble skrevet da tunnelen ikke fantes.

Når begge rollene er tilgjengelige og kravet faktisk er begge, kjør dem som separate funksjoner med separat dokumentasjon. Én ruter kan ringe ut for TV-en og samtidig ta imot en telefonforbindelse til NAS-en, men de to policyene må ikke dele et subnett, en DNS-innstilling eller en brannmursone, ellers ødelegger den første endringen du gjør for den ene, den andre.