Modul bridge nu este pass-through VPN: ce schimbă fiecare dintre ele
Modul bridge schimbă rolul de forwarding al routerului; pass-through lasă doar VPN-ul unui client să treacă prin el. Niciunul nu creează un tunel, așa că nu sunt interschimbabile.
Modul bridge și pass-through VPN apar în același fir de depanare pentru că ambele sunt oferite ca remediu pentru un VPN care nu se conectează. Ele descriu funcții diferite ale routerului, iar niciuna nu creează singură un tunel VPN. Puntea schimbă felul în care un dispozitiv se alătură segmentelor de rețea sau cine face rutarea; pass-through decide dacă traficul VPN al unui client poate traversa un gateway. Alegerea greșită transformă o problemă mică într-o după-amiază întreagă de readresare.
Două etichete, două funcții diferite
Testul este simplu: încerci să schimbi forma rețelei sau să lași un trafic care există deja să treacă prin ea? Sunt cereri diferite, cu consecințe diferite.
Comparația într-un singur tabel:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Doar ultimele două creează un tunel pe router. Puntea și pass-through lasă ambele punctul final în altă parte, de aceea niciuna nu poate rezolva o problemă cauzată de un client lipsă sau de un server inaccesibil. Distincția se pierde ușor pentru că setările stau aproape una de alta în aceeași interfață. Notează care punct final deține tunelul înainte de a deschide pagina aceea.
Nici caseta de selectare pentru pass-through nu este o descriere completă a suportului de protocoale. Traversarea NAT modernă pentru IPsec folosește encapsulare UDP standardizată, în timp ce funcțiile auxiliare mai vechi au un comportament specific implementării.
O etichetă de marketing care spune suport VPN nu îți spune care dintre aceste patru roluri este vizat.
Ce schimbă modul bridge pe dispozitivul tău
Pe un modem sau un router, opțiunea bridge mută de obicei responsabilitățile de rutare și NAT către un alt gateway, mai jos în lanț. Pe un dispozitiv software poate însemna unirea interfețelor locale selectate într-un singur domeniu de broadcast. Amploarea exactă depinde de produs, așa că citește documentația pentru model, nu pentru cuvânt. Ambele interpretări schimbă alocarea adreselor, granițele firewallului și felul în care ajungi la administrare.
Ultima parte este motivul pentru care puntea este un prim răspuns slab la o defecțiune VPN. Poți pierde calea de administrare în timp ce problema inițială rămâne nerezolvată.
Păstrează o copie de siguranță a configurației înainte de a schimba rolul rețelei, pentru că adresarea se poate muta împreună cu el.
Alege rolul înainte de setare
Pentru a trimite traficul din gospodărie printr-o ieșire externă, ai nevoie de un client VPN compatibil pe router, nu de o punte. Pentru a te conecta înapoi acasă din alt loc, ai nevoie de rolul de server plus o cale în amonte care să poată ajunge la el. Cele două cerințe nu au aproape nimic în comun în afara cuvântului VPN. Decide pe care îl construiești înainte de a te uita la un meniu.
Un dispozitiv poate suporta ambele roluri și totuși să nu îl suporte pe cel de care ai nevoie la ritmul pe care îl aștepți.
Rolul este o decizie de proiectare; setarea este o consecință a ei.
Dacă eșuează doar un protocol
Când un protocol eșuează în spatele unui router care altfel funcționează, investighează mai întâi transportul și calea NAT a acelui protocol. Schimbarea întregului mod de gateway pentru a repara un singur client este echivalentul refacerii instalației electrice a casei pentru că s-a ars un bec. Verifică dacă traficul este încapsulat în UDP, dacă funcția auxiliară a routerului se aplică acelui protocol și dacă defecțiunea este simetrică. Apoi decide dacă o schimbare de rol este cu adevărat justificată.
RFC 3948 descrie încapsularea UDP care face IPsec să supraviețuiască NAT, și este standardul de verificat înainte de a avea încredere într-o casetă de selectare pentru pass-through.
Notează ce ai schimbat și de ce, pentru că următoarea persoană va găsi dispozitivul în modul bridge și va presupune că a fost intenționat. Rezultatul corect este o rețea a cărei formă ai ales-o tu, nu una moștenită dintr-o sesiune de depanare.