Modo bridge não é pass-through de VPN: o que cada um muda
O modo bridge muda a função de encaminhamento do roteador; o pass-through só deixa a VPN de um cliente atravessá-lo. Nenhum dos dois cria um túnel, por isso não são intercambiáveis.
O modo bridge e o pass-through de VPN aparecem no mesmo tópico de resolução de problemas porque ambos são oferecidos como conserto para uma VPN que não conecta. Eles descrevem funções diferentes do roteador, e nenhum dos dois cria um túnel de VPN sozinho. A bridge muda como um dispositivo entra nos segmentos de rede ou quem faz o roteamento; o pass-through decide se o tráfego de VPN de um cliente pode cruzar um gateway. A escolha errada transforma um problema pequeno em uma tarde inteira de reendereçamento.
Dois rótulos, duas funções diferentes
O teste é simples: você está tentando mudar o formato da rede ou deixar passar por ela um tráfego que já existe? São pedidos diferentes, com consequências diferentes.
A comparação em uma tabela:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Só os dois últimos criam um túnel no roteador. A bridge e o pass-through deixam o ponto final em outro lugar, e é por isso que nenhum dos dois conserta um problema causado por um cliente ausente ou por um servidor inalcançável. A distinção se perde fácil porque os ajustes ficam próximos uns dos outros na mesma interface. Anote qual ponto final é dono do túnel antes de abrir essa página.
Uma caixa de seleção de pass-through também não descreve por completo o suporte a protocolos. A travessia de NAT do IPsec moderno usa encapsulamento UDP padronizado, enquanto recursos auxiliares mais antigos têm comportamento específico de cada implementação.
Um rótulo de marketing que diz suporte a VPN não informa qual destes quatro papéis ele significa.
O que o modo bridge muda no seu dispositivo
Em um modem ou roteador, a opção de bridge normalmente transfere as responsabilidades de roteamento e de NAT para outro gateway mais adiante. Em um dispositivo de software, pode significar unir interfaces locais selecionadas em um único domínio de broadcast. O escopo exato depende do produto, então leia a documentação do modelo, e não a da palavra. As duas interpretações mudam a atribuição de endereços, as fronteiras do firewall e a forma como você chega à administração.
Essa última parte é o motivo de a bridge ser uma primeira reação ruim a uma falha de VPN. Você pode perder o caminho de gerenciamento enquanto o problema original continua sem solução.
Mantenha um backup da configuração antes de mudar o papel da rede, porque o endereçamento pode se deslocar junto com ele.
Escolha o papel antes do ajuste
Para enviar o tráfego da casa por uma saída externa, você precisa de um cliente de VPN compatível no roteador, não de uma bridge. Para se conectar de volta para casa a partir de outro lugar, você precisa do papel de servidor mais um caminho de subida que consiga alcançá-lo. Esses dois requisitos quase não têm nada em comum além da palavra VPN. Decida qual você está construindo antes de olhar um menu.
Um dispositivo pode suportar os dois papéis e ainda não suportar aquele de que você precisa na velocidade que espera.
O papel é uma decisão de projeto; o ajuste é consequência dela.
Se apenas um protocolo falha
Quando um protocolo falha atrás de um roteador que funciona no resto, investigue primeiro o transporte e o caminho de NAT desse protocolo. Trocar o modo do gateway inteiro para consertar um cliente é o equivalente a refazer a fiação da casa porque uma lâmpada queimou. Verifique se o tráfego é encapsulado em UDP, se o recurso auxiliar do roteador se aplica àquele protocolo e se a falha é simétrica. Depois decida se uma troca de papel é realmente justificada.
RFC 3948 descreve o encapsulamento UDP que faz o IPsec sobreviver ao NAT, e é o padrão a conferir antes de confiar em uma caixa de seleção de pass-through.
Registre o que você mudou e por quê, porque a próxima pessoa vai encontrar o dispositivo em modo bridge e supor que foi de propósito. O resultado correto é uma rede cujo formato você escolheu, não uma que herdou de uma sessão de resolução de problemas.