Проверьте роль клиента на роутере, прежде чем импортировать профиль VPN

Страница спецификаций с логотипом VPN говорит, что устройство умеет что-то делать с VPN. Она не говорит, что прошивка может выступать клиентом для протокола в файле, который у вас в руках. Это разные возможности с разными требованиями, и разрыв между ними — то место, где большинство таких покупок идут не так. Проверьте роль раньше бренда.

Четыре проверки превращают список функций в ответ.

Логотип VPN — не заявление о возможностях

Роутеры рекламируют поддержку VPN как минимум в трёх смыслах: транзит для трафика с других устройств, сервер, принимающий входящие туннели, и клиент, инициирующий исходящий туннель. Только третий потребляет скачанный профиль. Транзит IPsec в частности — помощник NAT, а не конечная точка, и он встречается на устройствах, которые вообще не могут завершать или инициировать IPsec.

Спросите, какая роль нужна файлу, затем спросите, есть ли эта роль в версии прошивки на устройстве.

Читайте список функций для той прошивки, которую вы действительно используете

Названия моделей — не версии прошивки, а руководство, написанное для предыдущего крупного выпуска, описывает другой набор функций. На OpenWrt на вопрос можно ответить из оболочки: opkg list-installed | grep -E "openvpn|wireguard" покажет, есть ли клиентские пакеты, а модуль ядра WireGuard отделён от инструментов пользовательского пространства. На устройстве поставщика читайте примечания к выпуску установленной сборки, а не маркетинговую страницу модели.

Если возможность поставляется пакетом, убедитесь, что он установлен, а не просто доступен в репозитории.

Сопоставьте формат профиля с импортёром

Профиль OpenVPN — это язык директив. Файл партнёра WireGuard — это INI с закрытым ключом и списком разрешённых IP-адресов. Учётные данные IKEv2 — это сертификат или имя пользователя плюс идентификатор сервера. Форма на роутере, принимающая одну из них, не переведёт остальные, а кнопка импорта, обещающая принять что угодно, заслуживает недоверия.

Откройте файл и прочитайте первые десять строк. Это скажет вам, какой импортёр нужен, раньше любого меню.

Проверьте параметры, которые профиль действительно использует

Поддержка протокола — не поддержка вашего профиля. Посмотрите на директивы, несущие свойства безопасности: встроенные сертификаты, tls-crypt или tls-auth, выбор шифра и шифра данных, сжатие и скриптовые хуки. Реализация на роутере может принять файл и молча проигнорировать директиву, которую она не выполняет, и тогда туннель подключается, но ведёт себя иначе, чем на вашем ноутбуке.

Опасный результат — не отклонённый импорт. Это принятый импорт, который тихо что-то потерял.

Проверяйте политику, а не только рукопожатие

Решите, что соединение должно нести: один сегмент или каждое устройство, какой resolver DNS, входит ли IPv6 в туннель или остаётся локальным, и что происходит при падении туннеля. Это отдельные функции от установления, и именно здесь роутер сильнее всего отличается от настольного клиента. Держите локальное администрирование доступным во время тестирования, иначе первая ошибка маршрутизации стоит вам физического доступа.

Завершённое рукопожатие — начало проверки. Отправьте реальный трафик на реальный адрес и проверьте обратный путь.