Controleer de clientrol van de router voordat je een VPN-profiel importeert

Een specificatiepagina met een VPN-logo zegt dat het apparaat iets met VPN kan. Hij zegt niet dat de firmware als client kan optreden voor het protocol in het bestand dat je in je hand hebt. Dat zijn verschillende mogelijkheden met verschillende eisen, en de kloof daartussen is waar de meeste van deze aankopen misgaan. Controleer de rol vóór het merk.

Vier controles maken van een functielijst een antwoord.

Een VPN-logo is geen capaciteitsverklaring

Routers adverteren VPN-ondersteuning in ten minste drie betekenissen: doorvoer voor verkeer van andere apparaten, een server die inkomende tunnels accepteert, en een client die een uitgaande tunnel start. Alleen de derde gebruikt het profiel dat je hebt gedownload. Doorvoer van IPsec in het bijzonder is een NAT-hulp en geen eindpunt, en het verschijnt op apparaten die IPsec helemaal niet kunnen beëindigen of starten.

Vraag welke rol het bestand nodig heeft en vraag dan of die rol bestaat in de firmwareversie op het apparaat.

Lees de functielijst voor de firmware die je daadwerkelijk draait

Modelnamen zijn geen firmwareversies, en een handleiding voor de vorige hoofdrelease beschrijft een andere functieset. Op OpenWrt is de vraag vanuit een shell te beantwoorden: opkg list-installed | grep -E "openvpn|wireguard" laat zien of de clientpakketten aanwezig zijn, en de WireGuard-kernelmodule staat los van de userland-gereedschappen. Op een apparaat van een leverancier lees je de releaseopmerkingen van de geïnstalleerde build in plaats van de marketingpagina van het model.

Als de mogelijkheid als pakket komt, bevestig dan dat het is geïnstalleerd en niet alleen beschikbaar in de repository.

Stem het profielformaat af op de importeur

Een OpenVPN-profiel is een richtlijntaal. Een WireGuard-peerbestand is een INI met een privésleutel en een lijst met toegestane IP-adressen. IKEv2-inloggegevens zijn een certificaat of een gebruikersnaam plus een serveridentiteit. Een routerformulier dat een van die accepteert, vertaalt de andere niet, en een importknop die claimt alles te accepteren verdient wantrouwen.

Open het bestand en lees de eerste tien regels. Dat vertelt je welke importeur je nodig hebt voordat welk menu dan ook dat doet.

Controleer de opties die het profiel echt gebruikt

Ondersteuning voor het protocol is geen ondersteuning voor jouw profiel. Kijk naar de richtlijnen die de beveiligingseigenschappen dragen: inline certificaten, tls-crypt of tls-auth, keuze van cipher en datacipher, compressie en scripthooks. Een routerimplementatie kan het bestand accepteren en een richtlijn die zij niet implementeert stil negeren, wat een tunnel oplevert die verbindt en zich anders gedraagt dan die op je laptop.

De gevaarlijke uitkomst is geen geweigerde import. Het is een geaccepteerde import die stilletjes iets heeft laten vallen.

Test het beleid, niet alleen de handshake

Bepaal wat de verbinding moet dragen: één segment of elk apparaat, welke DNS-resolver, of IPv6 de tunnel in gaat of lokaal blijft, en wat er gebeurt als de tunnel wegvalt. Dat zijn aparte functies naast het opzetten, en daar verschilt een router het meest van een desktopclient. Houd lokaal beheer bereikbaar tijdens het testen, anders kost de eerste routeringsfout je fysieke toegang.

Een voltooide handshake is het begin van de verificatie. Stuur echt verkeer naar een echte bestemming en controleer de retourweg.