Client VPN pe router sau modul server: ce permite fiecare

Te autentifici pe router, deschizi pagina VPN și găsești două file care arată ca aceeași funcție descrisă de două ori: una vrea un fișier de profil de altundeva, cealaltă vrea să generezi certificate și să alegi un port. Nu sunt două vizualizări ale aceleiași setări. Un rol face routerul să sune în exterior, celălalt îl face să răspundă, și un singur echipament le poate face pe amândouă, fără ca unul să-l ajute pe celălalt. Iată cum să citești meniul și să decizi de ce parte ești înainte de a activa ceva.

Deschide meniul VPN și citește numele rolurilor

Începe cu titlurile secțiunilor, nu cu comutatoarele. O filă etichetată client sau „conectare la un serviciu VPN” așteaptă un profil importat, un fișier de configurare sau un set de acreditări emise de altcineva. O filă etichetată server așteaptă să creezi identitățile, să alegi un protocol și un port și, de obicei, să exporți un profil pentru fiecare dispozitiv care se va conecta.

Tratează textul de marketing de pe cutie ca neverificat până când meniul îi corespunde. „Suportă VPN” poate însemna un client, un server, un auxiliar de trecere a protocolului care doar transmite pachete unui dispozitiv din spatele routerului, sau o aplicație proprietară de acces la distanță fără niciun profil standard. Doar documentația firmware-ului distinge aceste cazuri, iar numărul de model de pe etichetă nu.

Modul client: rețeaua ta locală iese prin ieșirea altcuiva

În modul client routerul se comportă ca un laptop care rulează o aplicație VPN. Are nevoie de un protocol compatibil, de un profil sau acreditări de la operatorul la distanță și de o decizie de rutare privind dispozitivele din aval care folosesc tunelul. Multe firmware-uri oferă o listă de politici în care numești adresele sursă sau interfețele care trebuie trimise prin tunel și lași restul pe conexiunea normală.

Partea care eșuează în tăcere este partea de la distanță. Punctul final la care te conectezi trebuie să transmită traficul de internet pentru tine și să ofere o cale de întoarcere, iar asta este o politică la furnizor, nu o setare pe routerul tău. Un meniu care oferă doar modul server nu poate construi acest serviciu spre exterior, oricum ar fi configurat, iar un furnizor care suportă doar legături între locații poate conecta tunelul cu succes dar poate arunca tot ce trimiți prin el.

Apoi verifică modul în care tunelul gestionează DNS. Dacă profilul împinge un resolver, routerul ar trebui să transmită acel resolver clienților din aval; dacă nu, clienții continuă să folosească resolverul furnizorului și rezolvă nume în afara tunelului deși pachetele trec prin interior. O verificare rapidă de pe un laptop conectat: adresa pe care o vezi pe o pagină de ecou IP ar trebui să fie ieșirea, iar adresa resolverului folosit ar trebui să fie cea furnizată de tunel.

Modul server: altcineva ajunge în rețeaua ta locală

Modul server inversează direcția. Routerul ascultă, dispozitivul aflat în deplasare se conectează, iar apoi routerul decide la ce resurse din casă poate ajunge acea conexiune. Acesta este rolul pe care îl vrei pentru un NAS, o mașină de laborator sau o imprimantă, și are o condiție prealabilă pe care rolul de client nu o are: ceva din exterior trebuie să poată ajunge la ascultător.

Exact în această condiție se blochează majoritatea instalărilor de acasă. Dacă routerul stă în spatele gateway-ului furnizorului însuși, portul VPN trebuie redirecționat din acel gateway, sau routerul trebuie pus în modul bridge sau DMZ. În spatele NAT de nivel operator nu există niciun port de intrare de redirecționat, așa că proiectul trebuie schimbat: un tunel de ieșire de la router către un releu, un punct final găzduit sau un produs mesh. Un server care nu poate fi atins nu este configurat greșit, este inaccesibil.

Identitățile diferă și ele în funcție de rol. Un profil de client casnic care trimite totul către o ieșire plătită este un singur secret partajat, în timp ce un server care admite trei telefoane și un laptop are nevoie de patru identități pe care le poți revoca separat. Certificatele și cheile sunt pentru fiecare dispozitiv, iar pagina de export a routerului ar trebui să îți dea un fișier pentru fiecare dispozitiv, nu un fișier pentru toată casa.

Verifică implementarea exactă înainte de a te angaja

Documentația Netgate despre alegerea unui rol VPN separă rolurile în acest fel și merită să citești pagina echivalentă pentru firmware-ul tău în loc să deduci din numele filelor. Caută trei fapte concrete: ce protocoale poate vorbi clientul, dacă serverul suportă protocolul folosit de dispozitivele tale și dacă politica de rutare acoperă adrese sursă, interfețe întregi sau nimic.

Apoi uită-te la limita de suport. Un router de consum cu filă de client dar fără listă de politici va trimite fiecare dispozitiv prin tunel, ceea ce este în regulă pentru un dispozitiv de streaming și greșit pentru un laptop de lucru care are nevoie de tunelul biroului. Un router cu filă de server dar un singur profil partajat este un instrument de laborator rezonabil și o alegere slabă pentru o familie, pentru că revocarea unui dispozitiv înseamnă schimbarea configurației tuturor.

Alege rolul după locul de unde începe traficul

Parcurge rândul ales de la început la sfârșit înainte de a schimba orice altceva. Activează rolul, conectează un client, confirmă adresa cu care apare, confirmă ce resolver folosește și confirmă calea de întoarcere în direcția opusă. Dacă routerul are și o pagină de firewall, verifică dacă interfața nouă nu este blocată de o regulă implicită scrisă atunci când tunelul nu exista.

Când ambele roluri sunt disponibile și cerința este într-adevăr amândouă, rulează-le ca funcții separate cu documentație separată. Un router poate suna în exterior pentru televizor și poate accepta în același timp o conexiune de telefon la NAS, dar cele două politici nu trebuie să partajeze o subrețea, o setare DNS sau o zonă de firewall, altfel prima schimbare făcută pentru una o va strica pe cealaltă.