VPN-klient på ruteren eller servermodus: hva hver av dem muliggjør

Du logger deg inn på ruteren, åpner VPN-siden og finner to faner som virker som den samme funksjonen beskrevet to ganger: én vil ha en profilfil fra et annet sted, den andre vil at du genererer sertifikater og velger en port. Dette er ikke to sider av én innstilling. Én rolle får ruteren til å ringe ut, den andre til å svare, og én boks klarer begge, uten at den ene hjelper den andre. Slik leser du menyen og avgjør hvilken side du står på før du aktiverer noe.

Åpne VPN-menyen og les navnene på rollene

Begynn med overskriftene i seksjonene, ikke med bryterne. En fane merket klient eller «koble til en VPN-tjeneste» forutsetter en importert profil, en konfigurasjonsfil eller et sett påloggingsdetaljer som noen andre har utstedt. En fane merket server forutsetter at du lager identitetene, velger protokoll og port, og som regel eksporterer en profil for hver enhet som skal koble seg til.

Se på markedsføringsteksten på esken som ubekreftet helt til menyen samsvarer med den. «VPN støttes» kan bety en klient, en server, en hjelper for protokollgjennomgang som bare videresender pakker til en enhet bak ruteren, eller en egen fjernaksess-app uten noe standardprofil. Bare dokumentasjonen for fastvaren skiller disse tilfellene, og modellnummeret på klistremerket gjør det ikke.

Klientmodus: nettverket ditt går ut via en annens utgang

I klientmodus virker ruteren som en bærbar PC som kjører en VPN-app. Den trenger en protokoll den støtter, en profil eller påloggingsdetaljer fra den eksterne operatøren, og et rutingvalg om hvilke enheter lenger ned som bruker tunnelen. Mange fastvarer har en policyliste der du navngir kildeadressene eller grensesnittene som skal gå gjennom tunnelen, og lar resten ligge på den vanlige forbindelsen.

Det som feiler uten en lyd, er den eksterne siden. Endepunktet du kobler til, må videresende internettrafikk for deg og gi en vei tilbake, og det er en policy hos leverandøren, ikke en innstilling på ruteren din. En meny som bare tilbyr servermodus, klarer ikke å bygge denne tjenesten utover, uansett hvordan den konfigureres, og en leverandør som bare støtter lenker mellom nettsteder, kan koble tunnelen opp uten problemer, men likevel kaste alt du sender gjennom den.

Deretter sjekker du hvordan tunnelen håndterer DNS. Hvis profilen skyver på en resolver, skal ruteren sende den resolveren videre til klientene lenger ned; hvis ikke, fortsetter klientene å bruke leverandørens resolver og slår opp navn utenfor tunnelen selv om pakkene går innenfor. En rask sjekk fra en tilkoblet bærbar PC: adressen du ser på en IP-ekko-side, skal være utgangen, og resolveradressen som brukes, skal være den tunnelen ga.

Servermodus: noen andre kommer inn i nettverket ditt

Servermodus snur retningen. Ruteren lytter, enheten som er på farten kobler seg til, og så bestemmer ruteren hvilke ressurser hjemme den forbindelsen kan nå. Dette er rollen du vil ha for en NAS, en laboratoriemaskin eller en skriver, og den har et vilkår som klientrollen ikke har: noe utenfra må kunne nå den som lytter.

Det er på dette vilkåret de fleste hjemmeoppsett stopper opp. Står ruteren bak leverandørens egen gateway, må VPN-porten videresendes fra den gatewayen, eller ruteren må settes i bro- eller DMZ-modus. Bak carrier-grade NAT finnes det ikke noen innkommende port å videresende i det hele tatt, så oppsettet må endres: en utgående tunnel fra ruteren til et relé, et driftet endepunkt eller et mesh-produkt. En server som ikke kan nås, er ikke feil satt opp, den er utilgjengelig.

Identitetene varierer også med rollen. En klientprofil for husstanden som sender alt til en betalt utgang, er én delt hemmelighet, mens en server som slipper inn tre telefoner og en bærbar PC, trenger fire identiteter som du kan trekke tilbake enkeltvis. Sertifikater og nøkler er per enhet, og eksportsiden på ruteren skal gi deg én fil for hver enhet i stedet for én fil for hele husstanden.

Kontroller den nøyaktige implementasjonen før du binder deg

Netgates dokumentasjon om å velge en VPN-rolle deler rollene på denne måten, og det er verdt å lese den tilsvarende siden for fastvaren din i stedet for å gjette ut fra fanenavnene. Se etter tre konkrete fakta: hvilke protokoller klienten kan snakke, om serveren støtter protokollen enhetene dine bruker, og om rutingpolicyen dekker kildeadresser, hele grensesnitt eller ingenting.

Så ser du på støttegrensen. En forbrukerruter med klientfane, men uten policyliste, sender alle enheter gjennom tunnelen, noe som er greit for en strømmeboks og galt for en arbeidsbærbar PC som trenger kontortunnelen. En ruter med serverfane, men bare én delt profil, er et brukbart laboratorieverktøy og et dårlig valg for en familie, fordi å trekke tilbake én enhet betyr å endre konfigurasjonen for alle.

Velg rollen ut fra hvor trafikken starter

Gå gjennom den valgte raden fra begynnelse til slutt før du endrer noe annet. Slå på rollen, koble til én klient, bekreft adressen den vises med, bekreft hvilken resolver den bruker, og bekreft veien tilbake i motsatt retning. Har ruteren også en brannmurside, må du kontrollere at det nye grensesnittet ikke blokkeres av en standardregel som ble skrevet da tunnelen ikke fantes.

Når begge rollene er tilgjengelige og behovet virkelig er begge, kjører du dem som atskilte funksjoner med atskilt dokumentasjon. Én ruter kan ringe ut for TV-en og samtidig ta imot en telefonforbindelse til NAS-en, men de to policyene må ikke dele et subnett, en DNS-innstilling eller en brannmursone, ellers ødelegger den første endringen du gjør for den ene, den andre.