Sjekk ruterens klientrolle før du importerer en VPN-profil

En spesifikasjonsside med VPN-logo forteller at boksen kan gjøre noe med VPN. Den forteller ikke at fastvaren kan opptre som klient for protokollen i filen du holder i hånden. Dette er forskjellige evner med forskjellige krav, og gapet mellom dem er der de fleste slike kjøp går galt. Sjekk rollen før merket.

Fire kontroller gjør en funksjonsliste om til et svar.

En VPN-logo er ikke en erklæring om kapasitet

Rutere annonserer VPN-støtte i minst tre betydninger: gjennomløp for trafikk fra andre enheter, en server som tar imot innkommende tunneler, og en klient som starter en utgående tunnel. Bare den tredje bruker profilen du lastet ned. Gjennomløp for IPsec er særlig en NAT-hjelper og ikke et endepunkt, og det dukker opp på enheter som ikke kan avslutte eller starte IPsec i det hele tatt.

Spør hvilken rolle filen trenger, og spør deretter om den rollen finnes i fastvareversjonen på enheten.

Les funksjonslisten for fastvaren du faktisk kjører

Modellnavn er ikke fastvareversjoner, og en veiledning skrevet for forrige hovedutgivelse beskriver et annet funksjonssett. På OpenWrt kan spørsmålet besvares fra et skall: opkg list-installed | grep -E "openvpn|wireguard" viser om klientpakkene er til stede, og WireGuard-kjernemodulen er atskilt fra brukerlandsverktøyene. På en leverandørenhet bør du lese utgivelsesnotatene for den installerte byggingen i stedet for markedsføringssiden for modellen.

Hvis evnen leveres som en pakke, må du bekrefte at den er installert og ikke bare tilgjengelig i depotet.

Tilpass profilformatet til importøren

En OpenVPN-profil er et direktivspråk. En WireGuard-peerfil er en INI med en privat nøkkel og en liste over tillatte IP-adresser. IKEv2-legitimasjon er et sertifikat eller et brukernavn pluss en serveridentitet. Et ruterskjema som godtar ett av dem, oversetter ikke de andre, og en importknapp som hevder å godta alt, fortjener mistanke.

Åpne filen og les de ti første linjene. Det forteller deg hvilken importør du trenger før noen meny gjør det.

Kontroller alternativene profilen faktisk bruker

Støtte for protokollen er ikke støtte for profilen din. Se på direktivene som bærer sikkerhetsegenskapene: innebygde sertifikater, tls-crypt eller tls-auth, valg av chiffre og datachiffre, komprimering og skriptkroker. En ruterimplementasjon kan godta filen og stilltiende ignorere et direktiv den ikke implementerer, noe som gir en tunnel som kobler til og oppfører seg annerledes enn den på den bærbare datamaskinen din.

Det farlige utfallet er ikke en avvist import. Det er en godtatt import som stille har mistet noe.

Test policyen, ikke bare håndtrykket

Bestem hva forbindelsen skal bære: ett segment eller hver enhet, hvilken DNS-resolver, om IPv6 går inn i tunnelen eller blir lokal, og hva som skjer når tunnelen faller. Dette er egne funksjoner fra etablering, og det er her en ruter skiller seg mest fra en skrivebordsklient. Hold lokal administrasjon tilgjengelig mens du tester, ellers koster den første rutingfeilen deg fysisk tilgang.

Et fullført håndtrykk er starten på verifiseringen. Send ekte trafikk til en ekte destinasjon og kontroller returveien.