Klient VPN na routerze a tryb serwera: co każdy z nich umożliwia

Logujesz się do routera, otwierasz stronę VPN i widzisz dwie karty, które wyglądają jak ta sama funkcja opisana dwa razy: jedna chce pliku profilu z innego miejsca, druga chce, żebyś wygenerował certyfikaty i wybrał port. To nie są dwa widoki jednego ustawienia. Jedna rola każe routerowi dzwonić na zewnątrz, druga każe mu odpowiadać, i jedno urządzenie potrafi oba, bez tego, by jedno pomagało drugiemu. Oto jak czytać menu i zdecydować, po której stronie jesteś, zanim cokolwiek włączysz.

Otwórz menu VPN i przeczytaj nazwy ról

Zacznij od nagłówków sekcji, a nie od przełączników. Karta oznaczona jako klient lub „połącz z usługą VPN” oczekuje zaimportowanego profilu, pliku konfiguracyjnego albo zestawu danych logowania wydanych przez kogoś innego. Karta oznaczona jako serwer oczekuje, że utworzysz tożsamości, wybierzesz protokół i port i zwykle wyeksportujesz profil dla każdego urządzenia, które się połączy.

Traktuj hasło marketingowe na pudełku jako niepotwierdzone, dopóki menu go nie potwierdzi. „Obsługa VPN” może oznaczać klienta, serwer, pomocnika przechodzenia protokołu, który tylko przekazuje pakiety do urządzenia za routerem, albo własną aplikację dostępu zdalnego bez żadnego standardowego profilu. Tylko dokumentacja firmware rozróżnia te przypadki, a numer modelu na naklejce nie.

Tryb klienta: Twoja sieć LAN wychodzi przez cudze wyjście

W trybie klienta router zachowuje się jak laptop z aplikacją VPN. Potrzebuje zgodnego protokołu, profilu lub danych logowania od zdalnego operatora i decyzji o trasowaniu, które urządzenia poniżej korzystają z tunelu. Wiele firmware’ów oferuje listę zasad, w której nazywasz adresy źródłowe lub interfejsy mające iść przez tunel, a resztę zostawiasz na zwykłym połączeniu.

Część, która zawodzi po cichu, to strona zdalna. Punkt końcowy, z którym się łączysz, musi przekazywać za Ciebie ruch internetowy i zapewniać drogę powrotną, a to zasada u dostawcy, nie ustawienie na Twoim routerze. Menu oferujące tylko tryb serwera nie zbuduje tej usługi na zewnątrz, choćby nie wiem jak je skonfigurować, a dostawca obsługujący tylko łącza między lokalizacjami może połączyć tunel z powodzeniem, ale odrzucać wszystko, co przez niego wyślesz.

Następnie sprawdź, jak tunel obchodzi się z DNS. Jeśli profil przepycha resolver, router powinien przekazać ten resolver klientom poniżej; jeśli nie, klienci nadal korzystają z resolvera dostawcy i rozwiązują nazwy poza tunelem, mimo że pakiety idą do środka. Szybkie sprawdzenie z podłączonego laptopa: adres widoczny na stronie echa IP powinien być wyjściem, a używany adres resolvera powinien być tym, który podał tunel.

Tryb serwera: ktoś inny wchodzi do Twojej sieci LAN

Tryb serwera odwraca kierunek. Router nasłuchuje, podróżujące urządzenie się łączy, a potem router decyduje, do których zasobów w domu to połączenie może dotrzeć. To rola, której chcesz dla NAS-a, maszyny laboratoryjnej lub drukarki, i ma warunek wstępny, którego rola klienta nie ma: coś z zewnątrz musi móc dotrzeć do nasłuchującego.

Na tym warunku zatrzymuje się większość domowych instalacji. Jeśli router stoi za bramą samego dostawcy, port VPN trzeba przekierować z tej bramy albo ustawić router w trybie mostu lub DMZ. Za NAT-em klasy operatorskiej nie ma w ogóle portu przychodzącego do przekierowania, więc projekt musi się zmienić: tunel wychodzący z routera do przekaźnika, hostowanego punktu końcowego lub produktu siatkowego. Serwer, do którego nie można dotrzeć, nie jest źle skonfigurowany, jest nieosiągalny.

Tożsamości też różnią się w zależności od roli. Domowy profil klienta wysyłający wszystko na płatne wyjście to jeden wspólny sekret, natomiast serwer wpuszczający trzy telefony i laptopa potrzebuje czterech tożsamości, które można unieważnić osobno. Certyfikaty i klucze są na urządzenie, a strona eksportu routera powinna dawać jeden plik na urządzenie, a nie jeden plik dla całego domu.

Przed zobowiązaniem sprawdź dokładną implementację

Dokumentacja Netgate dotycząca wyboru roli VPN rozdziela role w ten sposób i warto przeczytać odpowiednią stronę dla swojego firmware, zamiast wnioskować z nazw kart. Szukaj trzech konkretnych faktów: jakie protokoły potrafi obsłużyć klient, czy serwer obsługuje protokół używany przez Twoje urządzenia i czy zasada trasowania obejmuje adresy źródłowe, całe interfejsy, czy nic.

Potem spójrz na granicę wsparcia. Router konsumencki z kartą klienta, ale bez listy zasad, wyśle każde urządzenie przez tunel, co jest dobre dla przystawki streamingowej, a złe dla służbowego laptopa, który potrzebuje tunelu biurowego. Router z kartą serwera, ale jednym wspólnym profilem, to rozsądne narzędzie laboratoryjne i zły wybór dla rodziny, bo unieważnienie jednego urządzenia oznacza zmianę konfiguracji wszystkich.

Wybierz rolę według tego, gdzie zaczyna się ruch

Przejdź wybrany wiersz od początku do końca, zanim zmienisz cokolwiek innego. Włącz rolę, podłącz jednego klienta, potwierdź adres, pod którym się pojawia, potwierdź, którego resolvera używa, i potwierdź drogę powrotną w przeciwnym kierunku. Jeśli router ma też stronę zapory, sprawdź, czy nowego interfejsu nie blokuje domyślna reguła napisana wtedy, gdy tunel jeszcze nie istniał.

Gdy obie role są dostępne, a wymóg naprawdę dotyczy obu, uruchamiaj je jako osobne funkcje z osobną dokumentacją. Jeden router może dzwonić na zewnątrz dla telewizora i jednocześnie przyjmować połączenie telefonu z NAS-em, ale obie zasady nie mogą dzielić podsieci, ustawienia DNS ani strefy zapory, inaczej pierwsza zmiana zrobiona dla jednej zepsuje drugą.