VPN-klient på rutaren eller servarmodus: kva kvar av dei gjer mogleg
Den eine rutarrola sender trafikken din til ein ekstern utgang, den andre slepp deg inn att. Les menyane, påloggingsdetaljane og returvegen før du aktiverer nokon av dei.
Du loggar på rutaren, opnar VPN-sida og finn to faner som ser ut som den same funksjonen skildra to gonger: den eine vil ha ei profilfil frå ein annan stad, den andre vil at du skal generere sertifikat og velje ein port. Dette er ikkje to visningar av éi innstilling. Den eine rolla får rutaren til å ringje ut, den andre får han til å svare, og éin boks kan gjere begge delar utan at den eine hjelper den andre. Her er korleis du les menyen og avgjer kva side du er på før du aktiverer noko.
Opne VPN-menyen og les rollenamna
Start med seksjonsoverskriftene i staden for brytarane. Ei fane merkt klient eller «kople til ein VPN-teneste» ventar på ei importert profil, ei konfigurasjonsfil eller eit sett påloggingsdetaljar som nokon andre har gjeve ut. Ei fane merkt tenar ventar på at du opprettar identitetane, vel protokoll og port og vanlegvis eksporterer ei profil for kvar eining som skal kople til.
Behandle marknadsføringslinja på eska som ubekrefta til menyen stemmer med ho. «VPN støtta» kan tyde ein klient, ein tenar, ein protokolldurchgangshjelpar som berre videresender pakkar til eit apparat bak rutaren, eller ein eigen fjernåtkomst-app utan noka standardprofil i det heile. Berre fastvaredokumentasjonen skil mellom desse tilfella, og modellnummeret på klistrelappen gjer det ikkje.
Klientmodus: LAN-et ditt går ut gjennom utgangen til nokon andre
I klientmodus oppfører rutaren seg som ein berbar PC som køyrer ein VPN-app. Han treng ein kompatibel protokoll, ei profil eller påloggingsdetaljar frå den eksterne operatøren, og ei rutingavgjerd om kva einingar nedstraums som brukar tunnelen. Mange fastvarer tilbyr ei policyliste der du namngir kjeldeadressene eller grensesnitta som skal sendast gjennom tunnelen, og lèt resten bli på den vanlege tilkoplinga.
Delen som sviktar i det stille, er den eksterne sida. Endepunktet du koplar til, må videresende internettrafikk for deg og gje ein returveg, og det er ein policy hjå leverandøren, ikkje ei innstilling på rutaren din. Ein meny som berre tilbyr tenarmodus, kan ikkje byggje denne utgåande tenesta, uansett korleis han er konfigurert, og ein leverandør som berre støttar samband mellom område, kan kople tunnelen med hell men likevel kaste alt du sender gjennom han.
Sjekk deretter korleis tunnelen handterer DNS. Viss profila skyv ein resolver, bør rutaren gje den resolveren vidare til klientar nedstraums; viss ikkje, held klientane fram med å bruke leverandøren sin resolver og løyser namn utanfor tunnelen sjølv om pakkane går inni. Ein rask sjekk frå ein tilkopla berbar PC: adressa du ser på ei IP-ekko-side, bør vere utgangen, og resolveradressa som blir brukt, bør vere den tunnelen leverte.
Tenarmodus: nokon andre kjem inn i LAN-et ditt
Tenarmodus snur retninga. Rutaren lyttar, den reisande eininga koplar til, og deretter avgjer rutaren kva heimeressursar den tilkoplinga kan nå. Dette er rolla du vil ha for ein NAS, ein laboratoriemaskin eller ein skrivar, og ho har ein føresetnad som klientrolla ikkje har: noko utanfrå må kunne nå lyttaren.
Det er på den føresetnaden dei fleste heimeoppsett stoppar. Viss rutaren står bak leverandøren si eiga gateway, må VPN-porten videresendast frå den gatewayen, eller rutaren må setjast i bru- eller DMZ-modus. Bak carrier-grade NAT finst det ingen inngåande port å videresende i det heile, så designet må endrast: ein utgåande tunnel frå rutaren til eit relé, eit drifta endepunkt eller eit mesh-produkt. Ein tenar som ikkje kan nåast, er ikkje feilkonfigurert, han er uoppnåeleg.
Identitetar varierer òg etter rolle. Ei hushaldseigarprofil som sender alt til ein betalt utgang, er éin delt løyndom, medan ein tenar som slepp inn tre telefonar og ein berbar PC, treng fire identitetar du kan trekkje tilbake kvar for seg. Sertifikat og nøklar er per eining, og eksportsida på rutaren bør gje deg éi fil per eining i staden for éi fil for heile husstanden.
Sjekk den nøyaktige implementasjonen før du forpliktar deg
Netgate si dokumentasjon om å velje ei VPN-rolle skil rollene på denne måten, og det er verdt å lese den tilsvarande sida for fastvaren din i staden for å slutte det frå fanenamna. Sjå etter tre konkrete fakta: kva protokollar klienten kan snakke, om tenaren støttar protokollen einingane dine brukar, og om rutingpolicyen dekkjer kjeldeadresser, heile grensesnitt eller ingenting.
Sjå deretter på støttegrensa. Ein forbrukar-rutar med klientfane men utan policyliste vil sende kvar eining gjennom tunnelen, noko som er greitt for ein strømmeboks og feil for ein arbeidsberbar PC som treng kontortunnelen. Ein rutar med tenarfane men éi delt profil er eit rimeleg laboratorieverkty og eit dårleg val for ein familie, fordi tilbaketrekking av éi eining betyr å endre konfigurasjonen til alle.
Vel rolla etter kvar trafikken startar
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Gå gjennom den valde rada frå start til slutt før du endrar noko anna. Aktiver rolla, kople til éin klient, stadfest adressa han visest som, stadfest kva resolver han brukar, og stadfest returvegen i motsett retning. Viss rutaren òg har ei brannmurside, kontroller at det nye grensesnittet ikkje blir blokkert av ein standardregel som vart skriven då tunnelen ikkje fanst.
Når begge rollene er tilgjengelege og kravet faktisk er begge, køyr dei som separate funksjonar med separat dokumentasjon. Éin rutar kan ringje ut for TV-en og samstundes ta imot ein telefonkopling til NAS-en, men dei to policyane må ikkje dele eit subnett, ei DNS-innstilling eller ei brannmursone, elles øydelegg den første endringa du gjer for den eine, den andre.