Telefonen utenfor VPN? Rutertunnel mot klient per enhet

Laptopen er koblet til VPN-en, telefonen er på samme Wi-Fi, og telefonen surfer fortsatt fra ISP-adressen. Det er ikke en klientfeil: en tunnel lever på maskinen som avslutter den, og ingenting annet arver den ved nærhet. Dekningen sprer seg bare når routeren selv kjører klienten, eller når en maskin med vilje gjøres om til gateway for LAN-et. Hvilken modell du vil ha, avgjøres av tre ting: protokollen leverandøren din faktisk snakker, hvor forskjellig enhetene må behandles, og hvilken feil du kan leve med klokken ni om kvelden.

Hva en rutertunnel faktisk dekker

Når tunnelen avsluttes på ruteren, deler hver enhet som ruter gjennom den, utgangen. Det er appellen ved en TV, en konsoll eller et apparat som aldri kommer til å kjøre en klient: ingenting å installere, ingenting å holde oppdatert, og ett sted å bytte leverandør.

Dekningen er betinget på måter som overrasker folk. Et gjestenettverk eller en ekstra SSID med egen policy følger veien den policyen angir, ikke tunnelen. En IPv6-vei kan omgå en tunnel som bare fører IPv4. En enhet med sin egen VPN-app eller sin egen krypterte resolver ignorerer ruteren helt. Og ruterens egen trafikk, oppdateringer og DNS inkludert, følger dens utgangspolicy, som er en annen vei enn LAN-ets videresendte trafikk.

Kontrollen er den samme i begge modellene og tar ett minutt: spør to enheter hvilken adresse verden ser, og se deretter i ruterens tilkoblingsliste etter tunnelen. Hvis telefonen rapporterer ISP-adressen mens ruteren viser en etablert tunnel, rutes ikke telefonen gjennom den, og ingen gjentilkobling endrer det.

Der en klient per enhet vinner

Klienter per enhet vinner så snart kravene spriker. En arbeidslaptop kan trenge en bedriftstunnel som telefonen ikke skal være med i; en leverandørklient kan tilby delt tunnellering per program, noe en ruter ikke kan uttrykke; en konsoll må kanskje holde seg utenfor for å beholde NAT-typen. Hver enhet feiler også på egen hånd, så ett utløpt abonnement gjør ikke hele huset stille.

Påloggingsinformasjon er det skarpere argumentet. En ruter som kobler til på vegne av alle, holder én konto, og hver person på det nettverket arver tilgangen. Hvis hensikten er autentisering per person før internettilgang, kan en rutertunnel alene ikke gjøre det. Det vanlige designet er en captive portal som validerer kontoen og deretter slipper klienten inn i en allerede etablert tunnel, noe som er flere bevegelige deler enn de fleste hjem vil ha.

Protokollstøtte avgjør flere saker enn preferanse

Forbrukerrutere eksponerer bare protokollene produsenten leverte. En ruter med PPTP, L2TP eller vanlig IPsec kan ikke koble til en leverandør som bare publiserer OpenVPN eller WireGuard-profiler, og ingen konfigurasjon endrer det. De ærlige alternativene er en leverandør som snakker en støttet protokoll, en ruter med OpenWrt eller annen firmware med klienten du trenger, eller en klient på hver enhet.

Det motsatte tilfellet er like vanlig: en OpenVPN-kapabel ruter kan ikke bruke en leverandør der tjenesten avhenger av en egen klient og egne rutetricks. Les leverandørens side om støttede protokoller før du kjøper maskinvare, og kontroller firmwareversjonen, for 'støtter WireGuard' på en produktside betyr ofte én bestemt firmwaregenerasjon.

En reiseruter med WireGuard-klient er den billige versjonen av rutermodellen, og det er et rimelig svar for en håndfull enheter som ikke kan kjøre en klient. Det er fortsatt en rutertunnel, så alt over om gjestenettverk, IPv6 og delt feil gjelder uendret.

Det tredje alternativet: en maskin som gateway

Å dele en klient fra en laptop er mulig, og det er det folk vanligvis mener med å gjøre laptopen om til en ruter.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Det virker til maskinen sover, klienten kobler til på nytt i en annen profil, eller maskinens egen brannmur slipper videresendte pakker. Da mister alt bak den tilkoblingen samtidig, og feilen ser ut som et dødt nettverk snarere enn et VPN-problem.

For et labb eller et midlertidig oppsett er det greit. Som permanent ordning gjør det én laptop til husets eneste feilpunkt, og det ender vanligvis med at noen lurer på hvorfor TV-en sluttet å virke da et lokk ble lukket.

Innkommende porter, DNS og feilen dere deler

Innkommende tjenester flytter med tunnelen. En ruter-VPN bryter vanligvis portvideresending for en LAN-server, og et dynamisk DNS-navn må peke på VPN-utgangen i stedet for på ISP-adressen hvis tjenesten skal nås gjennom tunnelen. Noen leverandører tilbyr ingen rutbar innkommende adresse i det hele tatt, noe som stille avslutter enhver plan som bygget på en.

DNS følger ruteren når ruteren eier tunnelen, noe som er praktisk til én enhet trenger en annen resolver. En klient per enhet kan uttrykke det; en ruterpolicy kan ikke uten å dele nettverket i to. Feilen deles også, for en krasj, ett utløpt abonnement eller én dårlig pushet rute kobler fra hver enhet i samme øyeblikk.

Velg rutermodellen når enhetene ikke kan kjøre klienter og én utgang er akseptabel. Velg klienter per enhet når policyene er forskjellige, når leverandøren trenger en protokoll ruteren mangler, eller når kontoen ikke skal deles. Hvis en maskin er gateway, skriv ned hvilket grensesnitt som deler hvilket nettverk, og test tilfellet 'tunnel nede', for det er tilstanden der de fleste av disse designene viser seg å være feil.