Telefonen utanfor VPN? Rutartunnel mot klient per eining

Laptopen er kopla til VPN-en, telefonen er på same Wi-Fi, og telefonen surfar framleis frå ISP-adressa. Det er ikkje ein klientfeil: ein tunnel lever på maskina som avsluttar han, og ingenting anna arvar han ved nærleik. Dekninga spreier seg berre når rutaren sjølv køyrer klienten, eller når ei maskin med vilje vert gjord om til gateway for LAN-et. Kva modell du vil ha, vert avgjort av tre ting: protokollen leverandøren din faktisk snakkar, kor ulikt einingane må handsamast, og kva feil du kan leva med klokka ni om kvelden.

Kva ein rutartunnel faktisk dekkjer

Når tunnelen avsluttast på rutaren, deler kvar eining som rutar gjennom han utgangen. Det er appellen ved ein TV, ein konsoll eller eit apparat som aldri kjem til å køyre ein klient: ingenting å installere, ingenting å halde oppdatert, og ein stad å byte leverandør.

Dekninga er vilkårsbunden på måtar som overraskar folk. Eit gjestenettverk eller ein ekstra SSID med eigen policy følgjer vegen den policyen angir, ikkje tunnelen. Ein IPv6-veg kan omgå ein tunnel som berre fører IPv4. Ei eining med sin eigen VPN-app eller sin eigen krypterte resolver ignorerer rutaren heilt. Og rutaren sin eigen trafikk, oppdateringar og DNS inkludert, følgjer utgangspolicyen hans, som er ein annan veg enn LAN-ets vidaresende trafikk.

Kontrollen er den same i begge modellane og tek eitt minutt: spør to einingar kva adresse verda ser, og sjå deretter i tilkoplingslista til rutaren etter tunnelen. Viss telefonen rapporterer ISP-adressa medan rutaren viser ein etablert tunnel, vert telefonen ikkje ruta gjennom han, og ingen gjenoppkopling endrar det.

Der ein klient per eining vinn

Klientar per eining vinn så snart krava sprikjer. Ein arbeidslaptop kan trenge ein bedriftstunnel som telefonen ikkje skal vere med i; ein leverandørklient kan tilby delt tunnellering per program, noko ein rutar ikkje kan uttrykkje; ein konsoll må kanskje halde seg utanfor for å behalde NAT-typen. Kvar eining feilar også på eiga hand, så eitt utgått abonnement gjer ikkje heile huset stille.

Påloggingsinformasjon er det skarpare argumentet. Ein rutar som koplar til på vegner av alle, held éin konto, og kvar person på det nettverket arvar tilgangen. Viss hensikta er autentisering per person før internettilgang, kan ein rutartunnel åleine ikkje gjere det. Det vanlege designet er ein captive portal som validerer kontoen og deretter slepp klienten inn i ein allereie etablert tunnel, noko som er fleire bevegelege delar enn dei fleste heim vil ha.

Protokollstøtte avgjer fleire saker enn preferanse

Forbrukarrutarar eksponerer berre protokollane produsenten leverte. Ein rutar med PPTP, L2TP eller vanleg IPsec kan ikkje kople til ein leverandør som berre publiserer OpenVPN eller WireGuard-profilat, og ingen konfigurasjon endrar det. Dei ærlege alternativa er ein leverandør som snakkar ein støtta protokoll, ein rutar med OpenWrt eller annan firmware med klienten du treng, eller ein klient på kvar eining.

Det motsette tilfellet er like vanleg: ein OpenVPN-kapabel rutar kan ikkje bruke ein leverandør der tenesta avheng av ein eigen klient og eigne rutetricks. Les sida til leverandøren om støtta protokollar før du kjøper maskinvare, og kontroller firmwareversjonen, for 'støttar WireGuard' på ei produktside betyr ofte éin bestemd firmwaregenerasjon.

Ein reiserutar med WireGuard-klient er den billege versjonen av rutarmodellen, og det er eit rimeleg svar for ei handfull einingar som ikkje kan køyre ein klient. Det er framleis ein rutartunnel, så alt over om gjestenettverk, IPv6 og delt feil gjeld uendra.

Det tredje alternativet: ei maskin som gateway

Å dele ein klient frå ein laptop er mogleg, og det er det folk vanlegvis meiner med å gjere laptopen om til ein rutar.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Det verkar til maskina søv, klienten koplar til på nytt i ein annan profil, eller brannmuren til maskina slepp vidaresende pakkar. Då mistar alt bak den tilkoplinga sambandet samtidig, og feilen ser ut som eit dødt nettverk snarare enn eit VPN-problem.

For eit labb eller eit mellombels oppsett er det greitt. Som permanent ordning gjer det éin laptop til det einaste feilpunktet i ein husstand, og det endar vanlegvis med at nokon lurer på kvifor TV-en slutta å verke då eit lokk vart lukka.

Innkjemande portar, DNS og feilen de deler

Innkjemande tenester flyttar med tunnelen. Ein rutar-VPN bryt vanlegvis portvideresending for ein LAN-server, og eit dynamisk DNS-namn må peike på VPN-utgangen i staden for på ISP-adressa viss tenesta skal nåast gjennom tunnelen. Nokre leverandørar tilbyr ingen rutbar innkjemande adresse i det heile, noko som stilt avsluttar kvar plan som bygde på ei.

DNS følgjer rutaren når rutaren eig tunnelen, noko som er praktisk til éi eining treng ein annan resolver. Ein klient per eining kan uttrykkje det; ein rutarpolicy kan ikkje utan å dele nettverket i to. Feilen vert også delt, for eit krasj, eitt utgått abonnement eller éi dårleg pusht rute koplar frå kvar eining i same augneblink.

Vel rutarmodellen når einingane ikkje kan køyre klientar og éin utgang er akseptabel. Vel klientar per eining når policyane er ulike, når leverandøren treng ein protokoll rutaren manglar, eller når kontoen ikkje skal delast. Viss ei maskin er gateway, skriv ned kva grensesnitt som deler kva nettverk, og test tilfellet 'tunnel nede', for det er tilstanden der dei fleste av desse designa viser seg å vere feil.