Sprawdź rolę klienta routera, zanim zaimportujesz profil VPN

Strona ze specyfikacją i logo VPN mówi, że urządzenie potrafi coś robić z VPN. Nie mówi, że firmware może działać jako klient dla protokołu w pliku, który trzymasz w ręku. To różne możliwości o różnych wymaganiach, a luka między nimi jest miejscem, w którym większość takich zakupów się nie udaje. Sprawdź rolę przed marką.

Cztery sprawdzenia zamieniają listę funkcji w odpowiedź.

Logo VPN nie jest deklaracją możliwości

Routery reklamują obsługę VPN w co najmniej trzech znaczeniach: przepuszczanie ruchu z innych urządzeń, serwer przyjmujący przychodzące tunele oraz klient inicjujący tunel wychodzący. Tylko trzeci zużywa pobrany profil. Przepuszczanie IPsec jest w szczególności pomocnikiem NAT, a nie punktem końcowym, i pojawia się na urządzeniach, które w ogóle nie potrafią zakończyć ani rozpocząć IPsec.

Zapytaj, jakiej roli wymaga plik, a następnie zapytaj, czy ta rola istnieje w wersji firmware na urządzeniu.

Czytaj listę funkcji dla firmware, który rzeczywiście uruchamiasz

Nazwy modeli nie są wersjami firmware, a przewodnik napisany dla poprzedniego wydania głównego opisuje inny zestaw funkcji. Na OpenWrt można odpowiedzieć na to pytanie z powłoki: opkg list-installed | grep -E "openvpn|wireguard" pokazuje, czy pakiety klienta są obecne, a moduł jądra WireGuard jest oddzielony od narzędzi przestrzeni użytkownika. Na urządzeniu producenta czytaj informacje o wydaniu zainstalowanej kompilacji, a nie stronę marketingową modelu.

Jeśli możliwość jest dostarczana jako pakiet, potwierdź, że jest zainstalowany, a nie tylko dostępny w repozytorium.

Dopasuj format profilu do importera

Profil OpenVPN to język dyrektyw. Plik peera WireGuard to INI z kluczem prywatnym i listą dozwolonych adresów IP. Poświadczenia IKEv2 to certyfikat albo nazwa użytkownika i tożsamość serwera. Formularz routera, który przyjmuje jeden z nich, nie przetłumaczy pozostałych, a przycisk importu twierdzący, że przyjmuje wszystko, zasługuje na nieufność.

Otwórz plik i przeczytaj pierwsze dziesięć wierszy. To mówi, którego importera potrzebujesz, zanim zrobi to jakiekolwiek menu.

Sprawdź opcje, których profil naprawdę używa

Obsługa protokołu nie jest obsługą twojego profilu. Przyjrzyj się dyrektywom niosącym właściwości bezpieczeństwa: certyfikaty w treści, tls-crypt lub tls-auth, wybór szyfru i szyfru danych, kompresja oraz haki skryptowe. Implementacja routera może przyjąć plik i po cichu zignorować dyrektywę, której nie realizuje, co daje tunel, który się łączy, ale zachowuje inaczej niż ten na twoim laptopie.

Niebezpiecznym wynikiem nie jest odrzucony import. To zaakceptowany import, który po cichu coś zgubił.

Testuj politykę, nie tylko uścisk dłoni

Zdecyduj, co połączenie ma przenosić: jeden segment czy każde urządzenie, który resolver DNS, czy IPv6 wchodzi do tunelu, czy zostaje lokalnie, i co się dzieje, gdy tunel padnie. To funkcje odrębne od zestawienia, i właśnie tu router najbardziej różni się od klienta desktopowego. Utrzymuj lokalną administrację osiągalną podczas testów, inaczej pierwszy błąd routingu kosztuje cię fizyczny dostęp.

Ukończony uścisk dłoni to początek weryfikacji. Wyślij prawdziwy ruch do prawdziwego celu i sprawdź drogę powrotną.