Verifique a função de cliente do roteador antes de importar um perfil VPN

Uma página de especificações com um logotipo de VPN diz que a caixa sabe fazer algo com VPN. Não diz que o firmware pode atuar como cliente para o protocolo no ficheiro que tem na mão. São capacidades diferentes com requisitos diferentes, e a lacuna entre elas é onde a maioria destas compras corre mal. Verifique a função antes da marca.

Quatro verificações transformam uma lista de funcionalidades numa resposta.

Um logotipo de VPN não é uma declaração de capacidade

Os roteadores anunciam suporte VPN em pelo menos três sentidos: encaminhamento para tráfego de outros dispositivos, um servidor que aceita túneis de entrada e um cliente que inicia um túnel de saída. Só o terceiro consome o perfil que descarregou. O encaminhamento de IPsec em particular é um auxiliar de NAT e não um ponto final, e aparece em dispositivos que não conseguem terminar nem iniciar IPsec.

Pergunte que função o ficheiro exige e depois pergunte se essa função existe na versão de firmware do dispositivo.

Leia a lista de funcionalidades do firmware que realmente executa

Os nomes dos modelos não são versões de firmware, e um guia escrito para a versão principal anterior descreve outro conjunto de funcionalidades. No OpenWrt a pergunta responde-se a partir de uma shell: opkg list-installed | grep -E "openvpn|wireguard" mostra se os pacotes de cliente estão presentes, e o módulo de kernel do WireGuard está separado das ferramentas de espaço de utilizador. Num dispositivo de fabricante, leia as notas de lançamento da compilação instalada em vez da página de marketing do modelo.

Se a capacidade vier como pacote, confirme que está instalado e não apenas disponível no repositório.

Combine o formato do perfil com o importador

Um perfil OpenVPN é uma linguagem de diretivas. Um ficheiro de par WireGuard é um INI com uma chave privada e uma lista de IP permitidos. As credenciais IKEv2 são um certificado ou um nome de utilizador mais uma identidade de servidor. Um formulário de roteador que aceita um deles não traduz os outros, e um botão de importação que afirma aceitar tudo merece desconfiança.

Abra o ficheiro e leia as dez primeiras linhas. Isso diz-lhe que importador precisa antes de qualquer menu.

Verifique as opções que o perfil realmente usa

O suporte do protocolo não é o suporte do seu perfil. Veja as diretivas que carregam as propriedades de segurança: certificados em linha, tls-crypt ou tls-auth, escolha de cifra e de cifra de dados, compressão e ganchos de script. Uma implementação de roteador pode aceitar o ficheiro e ignorar em silêncio uma diretiva que não implementa, o que produz um túnel que se liga e se comporta de forma diferente do que está no seu portátil.

O resultado perigoso não é uma importação rejeitada. É uma importação aceite que deixou cair algo em silêncio.

Teste a política, não apenas o aperto de mão

Decida o que a ligação deve transportar: um segmento ou todos os dispositivos, que resolvedor DNS, se o IPv6 entra no túnel ou fica local, e o que acontece quando o túnel cai. São funcionalidades separadas do estabelecimento, e é aqui que um roteador mais se distingue de um cliente de secretária. Mantenha a administração local acessível durante os testes, ou o primeiro erro de encaminhamento custa-lhe o acesso físico.

Um aperto de mão concluído é o início da verificação. Envie tráfego real para um destino real e verifique o caminho de volta.