Telefon izvan VPN-a? Tunel na ruteru protiv klijenta po uređaju

Laptop je povezan na VPN, telefon je na istom Wi-Fi-ju, a telefon ipak surfa s ISP adrese. To nije greška klijenta: tunel živi na mašini koja ga završava i ništa drugo ga ne nasljeđuje blizinom. Pokrivenost se širi samo kad ruter sam pokreće klijenta, ili kad se mašina namjerno pretvori u gateway za LAN. Koji model želite određuju tri stvari: protokol koji vaš provajder zaista govori, koliko različito uređaje treba tretirati i koji kvar možete podnijeti u devet navečer.

Šta tunel na ruteru zaista pokriva

Kada se tunel završi na ruteru, svaki uređaj koji rutira kroz njega dijeli izlaz. To je privlačnost za televizor, konzolu ili aparat koji nikada neće pokretati klijent: ništa za instaliranje, ništa za ažuriranje i jedno mjesto za promjenu provajdera.

Pokrivenost je uslovna na načine koji ljude iznenade. Gostinska mreža ili drugi SSID s vlastitom politikom ide putem koji ta politika određuje, ne tunelom. IPv6 put može zaobići tunel koji nosi samo IPv4. Uređaj s vlastitom VPN aplikacijom ili vlastitim šifriranim resolverom potpuno ignorira ruter. A ruterov vlastiti promet, uključujući ažuriranja i DNS, slijedi njegovu izlaznu politiku, koja je drugi put od proslijeđenog prometa LAN-a.

Provjera je ista u oba modela i traje minutu: pitajte dva uređaja koju adresu svijet vidi, pa pogledajte u ruterovoj listi veza ima li tunela. Ako telefon prijavljuje ISP adresu dok ruter pokazuje uspostavljen tunel, telefon se ne rutira kroz njega, i nikakvo ponovno povezivanje to ne mijenja.

Gdje klijent po uređaju pobjeđuje

Klijenti po uređaju pobjeđuju čim se zahtjevi raziđu. Radni laptop može trebati korporativni tunel u koji telefon ne smije ući; provajderov klijent može nuditi podijeljeni tunel po aplikaciji, što ruter ne može izraziti; konzola možda mora ostati izvan da zadrži svoj NAT tip. Svaki uređaj i sam otkazuje, pa jedna istekla pretplata ne ućutkava cijelu kuću.

Vjerodajnice su oštriji argument. Ruter koji se povezuje u ime svih drži jedan račun, a svaka osoba na toj mreži nasljeđuje njegov pristup. Ako je namjera provjera identiteta po osobi prije pristupa internetu, sam tunel na ruteru to ne može. Uobičajen dizajn je captive portal koji potvrdi račun i zatim pusti klijenta u već uspostavljen tunel, što je više pokretnih dijelova nego što većina kuća želi.

Podrška za protokole odlučuje više slučajeva od sklonosti

Potrošački ruteri izlažu samo protokole koje je proizvođač isporučio. Ruter s PPTP-om, L2TP-om ili običnim IPsec-om ne može se povezati s provajderom koji objavljuje isključivo OpenVPN ili WireGuard profile, i nikakva konfiguracija to ne mijenja. Iskrene opcije su provajder koji govori podržani protokol, ruter s OpenWrt-om ili drugim firmwareom s klijentom koji trebate, ili klijent na svakom uređaju.

Obrnut slučaj je jednako čest: ruter koji podržava OpenVPN ne može koristiti provajdera čija usluga zavisi od vlastitog klijenta i njegovih trikova s rutiranjem. Pročitajte stranicu provajdera o podržanim protokolima prije kupovine hardvera i provjerite verziju firmwarea, jer 'podržava WireGuard' na stranici proizvoda često znači jednu određenu generaciju firmwarea.

Putni ruter s WireGuard klijentom je jeftina verzija ruterkog modela i razuman odgovor za nekoliko uređaja koji ne mogu pokretati klijent. I dalje je tunel na ruteru, pa sve gore o gostinskim mrežama, IPv6 i zajedničkom kvaru vrijedi nepromijenjeno.

Treća opcija: mašina kao gateway

Dijeljenje klijenta s laptopa je moguće, i to ljudi obično misle kad kažu da su laptop pretvorili u ruter.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Radi dok mašina ne zaspi, klijent se ne poveže ponovo u drugi profil ili vlastiti firewall mašine ne odbaci proslijeđene pakete. Tada sve iza nje izgubi vezu odjednom, a kvar izgleda kao mrtva mreža, a ne kao VPN problem.

Za laboratoriju ili privremenu postavku je u redu. Kao trajno rješenje čini jedan laptop jedinom točkom kvara za domaćinstvo, i obično se završi tako da se neko pita zašto je televizor prestao raditi kad se poklopac zatvorio.

Dolazni portovi, DNS i kvar koji dijelite

Dolazne usluge se sele s tunelom. Ruter VPN obično pokvari prosljeđivanje portova za LAN server, a dinamičko DNS ime mora pokazivati na VPN izlaz, a ne na ISP adresu, ako usluga treba biti dostupna kroz tunel. Neki provajderi uopće ne nude rutabilnu dolaznu adresu, što tiho okonča svaki plan koji je na njoj počivao.

DNS slijedi ruter kada ruter posjeduje tunel, što je zgodno dok jednom uređaju ne zatreba drugi resolver. Klijent po uređaju to može izraziti; ruterska politika ne može bez dijeljenja mreže na dvoje. Kvar se također dijeli, jer jedan pad, jedna istekla pretplata ili jedna loša gurnuta ruta odspaja svaki uređaj u istom trenutku.

Odaberite ruterski model kada uređaji ne mogu pokretati klijente i jedan izlaz je prihvatljiv. Odaberite klijente po uređaju kada se politike razlikuju, kada provajder traži protokol koji ruter nema ili kada se račun ne smije dijeliti. Ako je mašina gateway, zapišite koje sučelje dijeli koju mrežu i testirajte slučaj 'tunel pao', jer to je stanje u kojem se većina ovih dizajnova pokaže pogrešnom.