Режим моста — это не pass-through VPN: что меняет каждый из них
Режим моста меняет роль маршрутизатора при пересылке; pass-through лишь пропускает VPN клиента через него. Ни то, ни другое не создаёт туннель, поэтому они не взаимозаменяемы.
Режим моста и pass-through VPN упоминаются в одной и той же ветке обсуждения потому, что оба предлагаются как средство от VPN, который не подключается. Они описывают разные функции маршрутизатора, и ни один из них сам по себе не создаёт туннель VPN. Мост меняет то, как устройство подключается к сегментам сети или кто выполняет маршрутизацию; pass-through решает, может ли трафик VPN клиента пройти через шлюз. Неверный выбор превращает мелкую проблему в целый вечер повторной адресации.
Две метки, две разные функции
Проверка проста: вы пытаетесь изменить форму сети или пропустить через неё уже существующий трафик? Это разные запросы с разными последствиями.
Сравнение в одной таблице:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Только последние два создают туннель на маршрутизаторе. Мост и pass-through оба оставляют конечную точку в другом месте, поэтому ни один из них не исправит проблему, вызванную отсутствующим клиентом или недоступным сервером. Эту разницу легко потерять, потому что настройки стоят рядом в одном интерфейсе. Запишите, какая конечная точка владеет туннелем, прежде чем открыть эту страницу.
Флажок pass-through тоже не является полным описанием поддержки протоколов. Современное прохождение IPsec через NAT использует стандартизированную инкапсуляцию UDP, тогда как у старых вспомогательных функций поведение зависит от реализации.
Маркетинговая метка о поддержке VPN не говорит, какая из этих четырёх ролей имеется в виду.
Что режим моста меняет на вашем устройстве
На модеме или маршрутизаторе опция моста обычно переносит ответственность за маршрутизацию и NAT на другой шлюз ниже по цепочке. На программном устройстве это может означать объединение выбранных локальных интерфейсов в один широковещательный домен. Точный объём зависит от продукта, поэтому читайте документацию к модели, а не к слову. Обе трактовки меняют назначение адресов, границы межсетевого экрана и способ доступа к администрированию.
Именно поэтому перевод в мост — плохая первая реакция на отказ VPN. Можно потерять путь управления, пока исходная проблема так и не решена.
Сохраните резервную копию конфигурации, прежде чем менять роль сети, потому что адресация может переехать вместе с ней.
Выберите роль до настройки
Чтобы отправить домашний трафик через внешний выход, нужен совместимый VPN-клиент на маршрутизаторе, а не мост. Чтобы подключиться обратно домой из другого места, нужна роль сервера и путь вверх по течению, который до него дойдёт. У этих двух требований почти нет ничего общего, кроме слова VPN. Решите, что именно вы строите, прежде чем смотреть в меню.
Устройство может поддерживать обе роли и всё равно не поддерживать ту, которая вам нужна, с ожидаемой скоростью.
Роль — это проектное решение; настройка — его следствие.
Если отказывает только один протокол
Когда один протокол не работает за исправным в остальном маршрутизатором, сначала исследуйте транспорт и путь NAT этого протокола. Менять весь режим шлюза, чтобы починить одного клиента, — то же самое, что переделывать проводку в доме из-за перегоревшей лампы. Проверьте, инкапсулирован ли трафик в UDP, применима ли вспомогательная функция маршрутизатора к этому протоколу и симметричен ли отказ. Затем решите, действительно ли оправдана смена роли.
RFC 3948 описывает инкапсуляцию UDP, благодаря которой IPsec выживает за NAT, и это тот стандарт, который стоит проверить, прежде чем доверять флажку pass-through.
Запишите, что вы изменили и почему, потому что следующий человек найдёт устройство в режиме моста и решит, что так и было задумано. Правильный результат — сеть той формы, которую выбрали вы, а не та, что досталась в наследство от сеанса устранения неполадок.