Telefon poza VPN? Tunel na routerze a klient na każdym urządzeniu

Laptop jest połączony z VPN, telefon jest w tej samej sieci Wi-Fi, a mimo to przegląda z adresu ISP. To nie błąd klienta: tunel żyje na maszynie, która go kończy, i nic innego go nie dziedziczy przez bliskość. Zasięg rozszerza się tylko wtedy, gdy router sam uruchamia klienta, albo gdy maszyna zostaje celowo zamieniona w bramę dla LAN. To, którego modelu chcesz, rozstrzygają trzy rzeczy: protokół, którym twój dostawca naprawdę mówi, jak różnie trzeba traktować urządzenia i jaką awarię zniesiesz o dziewiątej wieczorem.

Co naprawdę obejmuje tunel na routerze

Gdy tunel kończy się na routerze, każde urządzenie, które przez niego routuje, dzieli jedno wyjście. To zaleta dla telewizora, konsoli albo urządzenia, które nigdy nie uruchomi klienta: nic nie trzeba instalować, nic nie trzeba aktualizować i jedno miejsce do zmiany dostawcy.

Zasięg jest warunkowy w sposób, który ludzi zaskakuje. Sieć gościnna albo drugi SSID z własną polityką idzie ścieżką wyznaczoną przez tę politykę, a nie przez tunel. Ścieżka IPv6 może ominąć tunel, który przenosi tylko IPv4. Urządzenie z własną aplikacją VPN albo własnym szyfrowanym resolverem całkowicie ignoruje router. A własny ruch routera, wraz z aktualizacjami i DNS, podlega jego polityce wyjściowej, która jest inną ścieżką niż przekazywany ruch LAN.

Sprawdzenie jest takie samo w obu modelach i zajmuje minutę: zapytaj dwa urządzenia, jaki adres widzi świat, a potem poszukaj tunelu na liście połączeń routera. Jeśli telefon podaje adres ISP, gdy router pokazuje ustanowiony tunel, telefon nie jest przez niego routowany i żadne ponowne połączenie tego nie zmieni.

Gdzie wygrywa klient na każdym urządzeniu

Klienci na każdym urządzeniu wygrywają, gdy tylko wymagania się rozjeżdżają. Laptop służbowy może potrzebować tunelu firmowego, do którego telefon nie powinien należeć; klient dostawcy może oferować tunel dzielony na aplikacje, czego router nie potrafi wyrazić; konsola może musieć zostać na zewnątrz, by zachować swój typ NAT. Każde urządzenie zawodzi też osobno, więc jedna wygasła subskrypcja nie ucisza całego domu.

Dane logowania są ostrzejszym argumentem. Router, który łączy się w imieniu wszystkich, trzyma jedno konto, a każda osoba w tej sieci dziedziczy jego dostęp. Jeśli intencją jest uwierzytelnianie każdej osoby przed dostępem do internetu, sam tunel na routerze tego nie potrafi. Zwykłym rozwiązaniem jest portal przechwytujący, który waliduje konto i wpuszcza klienta do już ustanowionego tunelu, co jest większą liczbą ruchomych części, niż chce większość domów.

Obsługa protokołów rozstrzyga więcej przypadków niż preferencja

Routery konsumenckie udostępniają tylko protokoły dostarczone przez producenta. Router z PPTP, L2TP lub zwykłym IPsec nie połączy się z dostawcą, który publikuje wyłącznie profile OpenVPN lub WireGuard, i żadna konfiguracja tego nie zmieni. Uczciwe opcje to dostawca mówiący obsługiwanym protokołem, router z OpenWrt lub innym firmware z potrzebnym klientem albo klient na każdym urządzeniu.

Odwrotny przypadek jest równie częsty: router obsługujący OpenVPN nie może użyć dostawcy, którego usługa zależy od własnego klienta i jego własnych sztuczek routingu. Przeczytaj stronę dostawcy o obsługiwanych protokołach, zanim kupisz sprzęt, i sprawdź wersję firmware, bo „obsługuje WireGuard” na stronie produktu często oznacza jedną konkretną generację firmware.

Router podróżny z klientem WireGuard to tania wersja modelu routera i rozsądna odpowiedź dla kilku urządzeń, które nie mogą uruchomić klienta. To nadal tunel na routerze, więc wszystko powyżej o sieciach gościnnych, IPv6 i wspólnej awarii stosuje się bez zmian.

Trzecia opcja: maszyna jako brama

Udostępnianie klienta z laptopa jest możliwe, i to ludzie zwykle mają na myśli, mówiąc o zamianie laptopa w router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

To działa, dopóki maszyna nie zaśnie, klient nie połączy się ponownie z innym profilem albo własna zapora maszyny nie odrzuci przekazywanych pakietów. Wtedy wszystko za nią traci łączność naraz, a awaria wygląda jak martwa sieć, a nie problem z VPN.

Dla laboratorium albo tymczasowej konfiguracji to jest w porządku. Jako stałe rozwiązanie czyni jeden laptop jedynym punktem awarii w gospodarstwie domowym, i zwykle kończy się tym, że ktoś zastanawia się, dlaczego telewizor przestał działać, gdy zamknięto pokrywę.

Porty przychodzące, DNS i wspólna awaria

Usługi przychodzące przemieszczają się z tunelem. VPN na routerze zwykle psuje przekierowanie portów dla serwera w LAN, a dynamiczna nazwa DNS musi wskazywać na wyjście VPN, a nie na adres ISP, jeśli usługa ma być osiągalna przez tunel. Niektórzy dostawcy nie oferują w ogóle routowalnego adresu przychodzącego, co po cichu kończy każdy plan, który na nim polegał.

DNS podąża za routerem, gdy router jest właścicielem tunelu, co jest wygodne do chwili, gdy jedno urządzenie potrzebuje innego resolvera. Klient na każdym urządzeniu potrafi to wyrazić; polityka routera nie potrafi bez rozdzielenia sieci na dwoje. Awaria też jest wspólna, bo jedna awaria, jedna wygasła subskrypcja albo jedna zła wypchnięta trasa odłącza każde urządzenie w tej samej chwili.

Wybierz model routera, gdy urządzenia nie mogą uruchamiać klientów, a jedno wyjście jest akceptowalne. Wybierz klientów na każdym urządzeniu, gdy polityki się różnią, gdy dostawca wymaga protokołu, którego router nie ma, albo gdy konta nie wolno udostępniać. Jeśli maszyna jest bramą, zapisz, który interfejs udostępnia którą sieć, i przetestuj przypadek „tunel padł”, bo to stan, w którym większość takich projektów okazuje się błędna.