Waarom een VPN niet kan deelnemen aan een Wi-Fi-netwerk zonder server

Het verzoek komt meestal als een variant van dezelfde hoop: richt de client op een Wi-Fi-netwerk en beland erin. Dat is niet wat een tunnel doet. Een tunnel verbindt een client met iets dat al luistert. Als het doelsysteem niets heeft dat voor toegang op afstand luistert, is er geen ander uiteinde.

Een tunnel is een relatie, geen instelling

Eén kant luistert, de andere verbindt, en beide spreken een protocol en inloggegevens af. De luisterende kant moet binnen het netwerk zitten dat je wilt bereiken. Dat deel kan niet vanuit de client worden verzonnen. Een profiel met het juiste adres en het verkeerde netwerk erachter levert een time-out op, geen toegang.

Daarom is het eerlijke antwoord op sommige van deze vragen dat toegang op afstand voor dat netwerk niet bestaat. Het toevoegen van een protocol, een poort of een andere client creëert geen eindpunt dat de eigenaar nooit heeft uitgerold.

Wi-Fi-gegevens zijn geen tunnelingegevens

Een SSID, een subnet, een gateway en een wachtwoordzin zijn feiten over in het gebouw staan. Geen ervan authenticeert je bij een dienst ergens anders op het internet. Campus- en hotelnetwerken publiceren die informatie voor gasten in het gebouw, niet voor clients op het internet.

Het kopiëren van een intern subnet naar een VPN-profiel levert een poging op om een adres te bereiken dat vanaf jouw locatie niet routeerbaar is. De poging mislukt voordat er ook maar een inloggegeven wordt gecontroleerd, daarom helpt het nooit om de gebruikersnaam of de authenticatiemethode te wijzigen.

Als de organisatie een dienst voor toegang op afstand draait, noemt de documentatie het eindpunt en de methode. Vraag specifiek naar die twee feiten, want een helpdesk beantwoordt anders de vraag die hij gewoonlijk hoort, namelijk die over de Wi-Fi.

Een uitgang kiest je bronnetwerk niet

Sommige servers antwoorden alleen clients waarvan het adres binnen één bereik valt. Dat is een broncontrole. Een commerciële uitgang ligt daarbuiten, dus de verbinding wordt geweigerd voordat er applicatiegegevens worden uitgewisseld. De rekensom verandert niet als je een andere provider kiest, want het adres is nog steeds niet het adres dat de server wil.

Er blijven drie opties over, en alleen drie. Vind een eindpunt binnen het toegestane bereik, gebruik een goedgekeurde spronghost die er al is, of vraag de eigenaar het beleid te wijzigen. Al het andere is een variant van hopen dat de controle niet wordt gehandhaafd.

Een lokale tunnel versleutelt het verkeerde segment

Een server die aan de loopback-interface is gebonden, beschermt verkeer tussen twee processen op dezelfde machine. Buiten dat loopback-pad verlaten pakketten de host precies zoals voorheen. De bescherming die je voor het netwerk wilde, heeft nooit bestaan, hoewel de verwerkingskosten reëel zijn.

Die opstelling heeft een legitiem gebruik: een client, een route of een configuratie testen voordat die wordt uitgerold. Het is geen privacy-maatregel en geen manier om een extern netwerk te bereiken, en het verwarren van beide leidt tot veel verspilde configuratie.

Wat echt werkt zonder server

Wanneer een apparaat geen stabiel inkomend pad heeft, is het nuttige patroon een ontmoetingspunt in plaats van een directe verbinding. Een extern gehoste relay, een omgekeerde tunnel van het apparaat naar een kleine server die je beheert, of een provider die inkomende adressering biedt, plaatsen allemaal iets bereikbaars in het midden. Een consumenten-VPN-abonnement is dat ding niet, omdat het geen eindpunt binnen je netwerk plaatst.

ssh -N -R 2222:localhost:22 [email protected]
ss -tlnp | grep 2222
nc -vz 198.51.100.7 2222

De eerste opdracht opent een omgekeerde tunnel van het apparaat naar een relay, de tweede bevestigt de lokale luisteraar en de derde test het pad van buitenaf. Vervang het documentatieadres door je eigen relay en bevestig de richting expliciet, want uitgaande verbindingen slagen vaak via vertaling, terwijl ongevraagde inkomende nooit aankomen.

Als het doel simpelweg is om een dienst te bereiken die al bestaat op een netwerk dat je beheert, zet de client dan op het apparaat dat hem nodig heeft. Een tunnel vanaf een laptop delen is een routerings- en vertaalproject met zijn eigen faalmodi, en een beheerde client zal het meestal blokkeren.