VPN-client op de router of servermodus: wat elk ervan mogelijk maakt

Je logt in op de router, opent de VPN-pagina en vindt twee tabbladen die eruitzien als dezelfde functie die twee keer wordt beschreven: de ene wil een profielbestand van elders, de andere wil dat je certificaten genereert en een poort kiest. Het zijn niet twee weergaven van één instelling. De ene rol laat de router naar buiten bellen, de andere laat hem antwoorden, en één apparaat kan beide, zonder dat het ene het andere helpt. Zo lees je het menu en bepaal je aan welke kant je staat voordat je iets inschakelt.

Open het VPN-menu en lees de rolnamen

Begin bij de kopjes van de secties en niet bij de schakelaars. Een tabblad met het label client of ‘verbinden met een VPN-dienst’ verwacht een geïmporteerd profiel, een configuratiebestand of een set inloggegevens die iemand anders heeft uitgegeven. Een tabblad met het label server verwacht dat je de identiteiten aanmaakt, een protocol en een poort kiest en meestal een profiel exporteert voor elk apparaat dat verbinding maakt.

Behandel de marketingregel op de doos als onbevestigd totdat het menu ermee overeenkomt. ‘VPN ondersteund’ kan een client betekenen, een server, een protocoldoorgiftehulpje dat alleen pakketten doorstuurt naar een apparaat achter de router, of een eigen remote-access-app zonder enig standaardprofiel. Alleen de firmwaredocumentatie onderscheidt die gevallen, en het modelnummer op de sticker niet.

Clientmodus: je LAN verlaat via de uitgang van iemand anders

In clientmodus gedraagt de router zich als een laptop met een VPN-app. Hij heeft een compatibel protocol nodig, een profiel of inloggegevens van de externe operator, en een routingbeslissing over welke apparaten stroomafwaarts de tunnel gebruiken. Veel firmwares bieden een beleidslijst waarin je de bronadressen of interfaces noemt die door de tunnel moeten en de rest op de normale verbinding laat.

Het deel dat stil faalt, is de externe kant. Het eindpunt waarmee je verbindt, moet internetverkeer voor je doorsturen en een retourweg bieden, en dat is een beleid bij de provider, geen instelling op je router. Een menu dat alleen servermodus biedt, kan deze naar buiten gerichte dienst niet bouwen, hoe het ook is geconfigureerd, en een provider die alleen verbindingen tussen locaties ondersteunt, kan de tunnel met succes verbinden maar alles weggooien wat je erdoorheen stuurt.

Controleer daarna hoe de tunnel met DNS omgaat. Als het profiel een resolver pusht, hoort de router die resolver aan stroomafwaartse clients te geven; zo niet, dan blijven clients de resolver van de provider gebruiken en lossen ze namen buiten de tunnel op, ook al gaan de pakketten naar binnen. Een snelle controle vanaf een verbonden laptop: het adres dat je op een IP-echopagina ziet, hoort de uitgang te zijn, en het gebruikte resolveradres hoort het adres te zijn dat de tunnel heeft geleverd.

Servermodus: iemand anders komt je LAN binnen

Servermodus keert de richting om. De router luistert, het reizende apparaat maakt verbinding, en dan bepaalt de router welke thuisbronnen die verbinding mag bereiken. Dit is de rol die je wilt voor een NAS, een labmachine of een printer, en hij heeft een voorwaarde die de clientrol niet heeft: iets van buiten moet de luisteraar kunnen bereiken.

Op die voorwaarde stranden de meeste thuisopstellingen. Staat de router achter de eigen gateway van de provider, dan moet de VPN-poort vanaf die gateway worden doorgestuurd, of moet de router in bridge- of DMZ-modus worden gezet. Achter carrier-grade NAT is er helemaal geen inkomende poort om door te sturen, dus het ontwerp moet veranderen: een uitgaande tunnel van de router naar een relay, een gehost eindpunt of een mesh-product. Een server die niet bereikbaar is, is niet verkeerd geconfigureerd, hij is onbereikbaar.

Ook de identiteiten verschillen per rol. Een huishoudelijk clientprofiel dat alles naar een betaalde uitgang stuurt, is één gedeeld geheim, terwijl een server die drie telefoons en een laptop toelaat vier identiteiten nodig heeft die je apart kunt intrekken. Certificaten en sleutels zijn per apparaat, en de exportpagina van de router hoort je één bestand per apparaat te geven in plaats van één bestand voor het hele huishouden.

Controleer de exacte implementatie voordat je je vastlegt

De documentatie van Netgate over het kiezen van een VPN-rol scheidt de rollen op deze manier, en het loont de moeite de equivalente pagina voor jouw firmware te lezen in plaats van het uit de tabbladnamen af te leiden. Zoek drie concrete feiten: welke protocollen de client kan spreken, of de server het protocol ondersteunt dat jouw apparaten gebruiken, en of het routingbeleid bronadressen, hele interfaces of niets dekt.

Kijk daarna naar de grens van de ondersteuning. Een consumentenrouter met een clienttabblad maar zonder beleidslijst stuurt elk apparaat door de tunnel, wat prima is voor een streamingbox en verkeerd voor een werklaptop die de kantoortunnel nodig heeft. Een router met een servertabblad maar één gedeeld profiel is een redelijk labinstrument en een slechte keuze voor een gezin, want één apparaat intrekken betekent de configuratie van iedereen wijzigen.

Kies de rol op basis van waar het verkeer begint

Loop de gekozen rij van begin tot eind door voordat je iets anders wijzigt. Schakel de rol in, verbind één client, bevestig het adres waaronder die verschijnt, bevestig welke resolver hij gebruikt en bevestig de retourweg in de omgekeerde richting. Heeft de router ook een firewallpagina, controleer dan of de nieuwe interface niet wordt geblokkeerd door een standaardregel die is geschreven toen de tunnel nog niet bestond.

Als beide rollen beschikbaar zijn en de behoefte echt beide is, draai ze dan als afzonderlijke functies met afzonderlijke documentatie. Eén router kan voor de televisie naar buiten bellen en tegelijk een telefoonverbinding naar de NAS accepteren, maar de twee beleidsregels mogen geen subnet, DNS-instelling of firewallzone delen, anders breekt de eerste wijziging die je voor de ene maakt de andere.