Tryb mostu to nie pass-through VPN: co zmienia każdy z nich
Tryb mostu zmienia rolę przekazywania pakietów przez router; pass-through tylko przepuszcza VPN klienta. Żaden z nich nie tworzy tunelu, więc nie są zamienne.
Tryb mostu i pass-through VPN pojawiają się w tym samym wątku rozwiązywania problemów, bo oba są proponowane jako lekarstwo na VPN, który się nie łączy. Opisują różne funkcje routera i żadna z nich sama nie tworzy tunelu VPN. Mostkowanie zmienia sposób, w jaki urządzenie dołącza do segmentów sieci, albo to, kto wykonuje routing; pass-through decyduje, czy ruch VPN klienta może przejść przez bramę. Zły wybór zamienia mały problem w całe popołudnie ponownego adresowania.
Dwie etykiety, dwie różne funkcje
Test jest prosty: próbujesz zmienić kształt sieci, czy przepuścić przez nią ruch, który już istnieje? To różne prośby o różnych konsekwencjach.
Porównanie w jednej tabeli:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Tylko dwie ostatnie tworzą tunel na routerze. Mostkowanie i pass-through oba zostawiają punkt końcowy gdzie indziej, dlatego żadne z nich nie naprawi problemu spowodowanego brakującym klientem albo nieosiągalnym serwerem. Tę różnicę łatwo zgubić, bo ustawienia leżą blisko siebie w tym samym interfejsie. Zapisz, który punkt końcowy jest właścicielem tunelu, zanim otworzysz tę stronę.
Pole wyboru pass-through nie jest też pełnym opisem obsługi protokołów. Współczesne przechodzenie przez NAT dla IPsec używa znormalizowanej enkapsulacji UDP, a starsze funkcje pomocnicze zachowują się w sposób zależny od implementacji.
Etykieta marketingowa mówiąca o obsłudze VPN nie zdradza, którą z tych czterech ról ma na myśli.
Co tryb mostu zmienia na twoim urządzeniu
W modemie lub routerze opcja mostu zwykle przenosi odpowiedzialność za routing i NAT na inną bramę położoną dalej w dół. W urządzeniu programowym może oznaczać połączenie wybranych interfejsów lokalnych w jedną domenę rozgłoszeniową. Dokładny zakres zależy od produktu, więc czytaj dokumentację dla modelu, a nie dla samego słowa. Obie interpretacje zmieniają przydział adresów, granice zapory i sposób dotarcia do administracji.
To ostatnie sprawia, że mostkowanie jest złą pierwszą reakcją na awarię VPN. Możesz stracić ścieżkę zarządzania, podczas gdy pierwotny problem nadal pozostaje nierozwiązany.
Zrób kopię zapasową konfiguracji, zanim zmienisz rolę sieci, bo adresacja może się wraz z nią przenieść.
Wybierz rolę przed ustawieniem
Aby wysłać ruch domowy przez zewnętrzne wyjście, potrzebujesz zgodnego klienta VPN na routerze, a nie mostu. Aby połączyć się z powrotem do domu z innego miejsca, potrzebujesz roli serwera oraz drogi w górę, która do niego dotrze. Te dwa wymagania nie mają prawie nic wspólnego poza słowem VPN. Zdecyduj, które budujesz, zanim spojrzysz na menu.
Urządzenie może obsługiwać obie role i nadal nie obsługiwać tej, której potrzebujesz, w tempie, jakiego oczekujesz.
Rola jest decyzją projektową; ustawienie jest jej konsekwencją.
Jeśli zawodzi tylko jeden protokół
Gdy jeden protokół zawodzi za działającym skądinąd routerem, najpierw zbadaj transport i ścieżkę NAT tego protokołu. Zmiana całego trybu bramy, by naprawić jednego klienta, przypomina wymianę instalacji elektrycznej w domu z powodu zepsutej lampy. Sprawdź, czy ruch jest enkapsulowany w UDP, czy funkcja pomocnicza routera dotyczy tego protokołu i czy awaria jest symetryczna. Potem zdecyduj, czy zmiana roli jest rzeczywiście uzasadniona.
RFC 3948 opisuje enkapsulację UDP, dzięki której IPsec przetrwa NAT, i to jest standard, który warto sprawdzić, zanim zaufasz polu wyboru pass-through.
Zapisz, co zmieniłeś i dlaczego, bo następna osoba znajdzie urządzenie w trybie mostu i uzna, że to było zamierzone. Właściwym wynikiem jest sieć o kształcie, który sam wybrałeś, a nie takim, który odziedziczyłeś po sesji rozwiązywania problemów.