Telefonul rămas în afara VPN? Tunel pe router sau client pe fiecare dispozitiv

Laptopul este conectat la VPN, telefonul este în aceeași rețea Wi-Fi și totuși telefonul navighează de pe adresa ISP. Nu este o eroare de client: un tunel trăiește pe mașina care îl termină și nimic altceva nu îl moștenește prin apropiere. Acoperirea se extinde doar când routerul rulează el însuși clientul, sau când o mașină este transformată deliberat într-o poartă pentru LAN. Ce model vrei se decide după trei lucruri: protocolul pe care furnizorul tău chiar îl vorbește, cât de diferit trebuie tratate dispozitivele și ce defecțiune poți suporta la nouă seara.

Ce acoperă de fapt un tunel pe router

Când tunelul se termină pe router, fiecare dispozitiv care rutează prin el împărtășește ieșirea. Acesta este atractivul pentru un televizor, o consolă sau un aparat care nu va rula niciodată un client: nimic de instalat, nimic de ținut la zi și un singur loc unde schimbi furnizorul.

Acoperirea este condiționată în moduri care surprind oamenii. O rețea de oaspeți sau un al doilea SSID cu propria politică urmează calea pe care o definește acea politică, nu tunelul. O cale IPv6 poate ocoli un tunel care transportă doar IPv4. Un dispozitiv cu propria aplicație VPN sau cu propriul resolver criptat ignoră complet routerul. Iar traficul propriu al routerului, inclusiv actualizările și DNS-ul, urmează politica lui de ieșire, care este o cale diferită de traficul redirecționat al LAN-ului.

Verificarea este aceeași în ambele modele și durează un minut: întreabă două dispozitive ce adresă vede lumea, apoi uită-te în lista de conexiuni a routerului pentru tunel. Dacă telefonul raportează adresa ISP în timp ce routerul arată un tunel stabilit, telefonul nu este rutat prin el, și nicio reconectare nu va schimba asta.

Unde câștigă clientul pe fiecare dispozitiv

Clienții pe fiecare dispozitiv câștigă de îndată ce cerințele diverg. Un laptop de serviciu poate avea nevoie de un tunel corporativ la care telefonul nu trebuie să se alăture; un client de furnizor poate oferi tunel divizat pe aplicație, ceea ce un router nu poate exprima; o consolă poate trebui să rămână afară pentru a-și păstra tipul NAT. Fiecare dispozitiv eșuează și pe cont propriu, așa că un abonament expirat nu reduce la tăcere toată casa.

Acreditările sunt argumentul mai tăios. Un router care se conectează în numele tuturor deține un singur cont, iar fiecare persoană din acea rețea îi moștenește accesul. Dacă intenția este autentificarea fiecărei persoane înainte de accesul la internet, un tunel pe router singur nu poate face asta. Proiectarea obișnuită este un portal captiv care validează contul și apoi eliberează clientul într-un tunel deja stabilit, ceea ce înseamnă mai multe piese mobile decât vrea majoritatea gospodăriilor.

Suportul de protocoale decide mai multe cazuri decât preferința

Routerele de consum expun doar protocoalele pe care producătorul le-a livrat. Un router cu PPTP, L2TP sau IPsec simplu nu se poate conecta la un furnizor care publică doar profiluri OpenVPN sau WireGuard, și nicio configurație nu schimbă asta. Opțiunile oneste sunt un furnizor care vorbește un protocol acceptat, un router cu OpenWrt sau alt firmware cu clientul de care ai nevoie, sau un client pe fiecare dispozitiv.

Cazul invers este la fel de frecvent: un router compatibil OpenVPN nu poate folosi un furnizor al cărui serviciu depinde de un client proprietar și de propriile trucuri de rutare. Citește pagina furnizorului despre protocoalele acceptate înainte de a cumpăra hardware și verifică versiunea de firmware, pentru că „acceptă WireGuard” pe o pagină de produs înseamnă adesea o anumită generație de firmware.

Un router de călătorie cu client WireGuard este versiunea ieftină a modelului de router și un răspuns rezonabil pentru câteva dispozitive care nu pot rula un client. Rămâne un tunel pe router, așa că tot ce s-a spus mai sus despre rețele de oaspeți, IPv6 și defecțiunea comună se aplică neschimbat.

A treia opțiune: o mașină ca poartă

Partajarea unui client de pe un laptop este posibilă, și asta înseamnă de obicei oamenii când spun că au transformat laptopul într-un router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funcționează până când mașina adoarme, clientul se reconectează într-un alt profil sau firewall-ul propriu al mașinii aruncă pachetele redirecționate. Atunci tot ce este în spate pierde conectivitatea deodată, iar defecțiunea arată ca o rețea moartă, nu ca o problemă de VPN.

Pentru un laborator sau o configurare temporară este în regulă. Ca aranjament permanent face dintr-un laptop singurul punct de defecțiune al unei gospodării, și de obicei se termină cu cineva care se întreabă de ce televizorul a încetat să funcționeze când s-a închis un capac.

Porturi de intrare, DNS și defecțiunea pe care o împarți

Serviciile de intrare se mută cu tunelul. Un VPN pe router de obicei strică redirecționarea porturilor pentru un server din LAN, iar un nume DNS dinamic trebuie să indice ieșirea VPN, nu adresa ISP, dacă serviciul trebuie să fie accesibil prin tunel. Unii furnizori nu oferă deloc o adresă de intrare rutabilă, ceea ce încheie în liniște orice plan care se baza pe una.

DNS-ul urmează routerul când routerul deține tunelul, ceea ce este comod până când un dispozitiv are nevoie de alt resolver. Un client pe fiecare dispozitiv poate exprima asta; o politică de router nu poate fără a împărți rețeaua în două. Defecțiunea este și ea împărtășită, pentru că o cădere, un abonament expirat sau o rută împinsă defectuoasă deconectează fiecare dispozitiv în același moment.

Alege modelul cu router când dispozitivele nu pot rula clienți și o singură ieșire este acceptabilă. Alege clienți pe fiecare dispozitiv când politicile diferă, când furnizorul are nevoie de un protocol pe care routerul nu îl are sau când contul nu trebuie partajat. Dacă o mașină este poarta, notează ce interfață partajează ce rețea și testează cazul „tunel căzut”, pentru că aceasta este starea în care majoritatea acestor proiecte se dovedesc greșite.