VPN-клиент на роутере или режим сервера: что даёт каждый

Вы входите в роутер, открываете страницу VPN и видите две вкладки, которые выглядят как одна и та же функция, описанная дважды: одной нужен файл профиля откуда-то извне, другой нужно, чтобы вы создали сертификаты и выбрали порт. Это не два представления одной настройки. Одна роль заставляет роутер звонить наружу, другая — отвечать, и одно устройство может делать и то и другое, не помогая одно другому. Вот как читать меню и определить, на чьей стороне вы находитесь, прежде чем что-либо включать.

Откройте меню VPN и прочитайте названия ролей

Начните с заголовков разделов, а не с переключателей. Вкладка с пометкой клиент или «подключиться к службе VPN» ожидает импортированный профиль, файл конфигурации или набор учётных данных, выданных кем-то другим. Вкладка с пометкой сервер ожидает, что вы создадите идентификаторы, выберете протокол и порт и обычно экспортируете профиль для каждого подключающегося устройства.

Считайте маркетинговую строку на коробке неподтверждённой, пока меню ей не соответствует. «Поддержка VPN» может означать клиент, сервер, помощник пропуска протокола, который только пересылает пакеты устройству за роутером, или собственническое приложение удалённого доступа вообще без стандартного профиля. Только документация прошивки различает эти случаи, а номер модели на наклейке — нет.

Режим клиента: ваша локальная сеть выходит через чужой выход

В режиме клиента роутер ведёт себя как ноутбук с приложением VPN. Ему нужны совместимый протокол, профиль или учётные данные от удалённого оператора и решение о маршрутизации, какие устройства ниже используют туннель. Многие прошивки предлагают список политик, где вы называете исходные адреса или интерфейсы, которые нужно отправлять через туннель, а остальные оставляете на обычном соединении.

Часть, которая отказывает молча, — это удалённая сторона. Конечная точка, к которой вы подключаетесь, должна пересылать интернет-трафик за вас и обеспечивать обратный путь, и это политика у провайдера, а не настройка на вашем роутере. Меню, предлагающее только режим сервера, не сможет построить эту внешнюю службу, как бы его ни настраивали, а провайдер, поддерживающий только связи между площадками, может успешно подключить туннель, но отбрасывать всё, что вы через него отправляете.

Затем проверьте, как туннель обращается с DNS. Если профиль проталкивает резолвер, роутер должен передать этот резолвер клиентам ниже; если нет, клиенты продолжают использовать резолвер провайдера и разрешать имена вне туннеля, хотя пакеты идут внутрь. Быстрая проверка с подключённого ноутбука: адрес, который вы видите на странице эхо-IP, должен быть выходом, а используемый адрес резолвера должен быть тем, что предоставил туннель.

Режим сервера: кто-то другой приходит в вашу локальную сеть

Режим сервера меняет направление. Роутер слушает, путешествующее устройство подключается, и затем роутер решает, к каким домашним ресурсам это соединение может получить доступ. Это та роль, которая нужна для NAS, лабораторной машины или принтера, и у неё есть предпосылка, которой нет у роли клиента: что-то снаружи должно уметь достичь слушателя.

Именно на этой предпосылке застревает большинство домашних установок. Если роутер стоит за собственным шлюзом провайдера, порт VPN нужно пробросить с этого шлюза или перевести роутер в режим моста либо DMZ. За NAT операторского уровня входного порта для проброса вообще нет, поэтому проект нужно менять: исходящий туннель от роутера к ретранслятору, размещённой конечной точке или mesh-продукту. Сервер, до которого нельзя добраться, не настроен неправильно — он недоступен.

Идентификаторы тоже различаются по роли. Домашний профиль клиента, который отправляет всё на платный выход, — это один общий секрет, а серверу, который пускает три телефона и ноутбук, нужно четыре идентификатора, которые можно отозвать по отдельности. Сертификаты и ключи выдаются на каждое устройство, и страница экспорта роутера должна давать по файлу на устройство, а не один файл на весь дом.

Проверьте точную реализацию, прежде чем брать обязательства

Документация Netgate о выборе роли VPN разделяет роли именно так, и стоит прочитать соответствующую страницу для вашей прошивки, а не догадываться по названиям вкладок. Ищите три конкретных факта: какие протоколы умеет клиент, поддерживает ли сервер протокол, который используют ваши устройства, и охватывает ли политика маршрутизации исходные адреса, целые интерфейсы или ничего.

Затем посмотрите на границу поддержки. Потребительский роутер с вкладкой клиента, но без списка политик отправит каждое устройство через туннель, что годится для приставки и не годится для рабочего ноутбука, которому нужен офисный туннель. Роутер с вкладкой сервера, но одним общим профилем — разумный лабораторный инструмент и плохой выбор для семьи, потому что отзыв одного устройства означает смену конфигурации у всех.

Выбирайте роль по тому, откуда начинается трафик

Пройдите выбранную строку от начала до конца, прежде чем менять что-то ещё. Включите роль, подключите одного клиента, подтвердите адрес, под которым он появляется, подтвердите, какой резолвер он использует, и подтвердите обратный путь в противоположном направлении. Если у роутера есть и страница межсетевого экрана, проверьте, что новый интерфейс не блокируется правилом по умолчанию, написанным тогда, когда туннеля ещё не было.

Когда доступны обе роли и требование действительно касается обеих, запускайте их как отдельные функции с отдельной документацией. Один роутер может звонить наружу для телевизора и одновременно принимать подключение телефона к NAS, но две политики не должны делить подсеть, настройку DNS или зону межсетевого экрана, иначе первое изменение, сделанное для одной, сломает другую.