VPN klijent na ruteru ili režim servera: šta svaki omogućava
Jedna uloga rutera šalje tvoj saobraćaj na udaljeni izlaz, druga te pušta unutra. Pročitaj menije, akreditive i povratnu putanju pre nego što uključiš bilo koju.
Prijaviš se na ruter, otvoriš VPN stranicu i nađeš dve kartice koje izgledaju kao ista funkcija opisana dva puta: jedna traži fajl profila odnekud drugde, druga traži da generišeš sertifikate i izabereš port. To nisu dva prikaza jednog podešavanja. Jedna uloga tera ruter da zove napolje, druga ga tera da odgovara, i jedan uređaj može da radi oboje, a da jedno ne pomaže drugom. Evo kako da čitaš meni i odlučiš na kojoj si strani pre nego što bilo šta uključiš.
Otvori meni VPN-a i pročitaj nazive uloga
Počni sa naslovima odeljaka, a ne sa prekidačima. Kartica označena kao klijent ili „poveži se na VPN uslugu“ očekuje uvezeni profil, konfiguracionu datoteku ili skup akreditiva koje je izdao neko drugi. Kartica označena kao server očekuje da stvoriš identitete, izabereš protokol i port i obično izvezeš profil za svaki uređaj koji će se povezati.
Tretiraj marketinški red na kutiji kao nepotvrđen dok mu meni ne odgovara. „VPN podržan“ može da znači klijent, server, pomoćnik za propuštanje protokola koji samo prosleđuje pakete uređaju iza rutera, ili vlasničku aplikaciju za daljinski pristup bez ikakvog standardnog profila. Samo dokumentacija firmvera razlikuje te slučajeve, a broj modela na nalepnici ne.
Režim klijenta: tvoj LAN izlazi kroz tuđi izlaz
U režimu klijenta ruter se ponaša kao prenosni računar sa VPN aplikacijom. Potrebni su mu kompatibilan protokol, profil ili akreditivi od udaljenog operatera i odluka o rutiranju koji uređaji nizvodno koriste tunel. Mnogi firmveri nude listu pravila u kojoj imenuješ izvorne adrese ili interfejse koje treba slati kroz tunel, a ostale ostavljaš na normalnoj vezi.
Deo koji tiho pada jeste udaljena strana. Krajnja tačka na koju se povezuješ mora da prosleđuje internet saobraćaj za tebe i obezbedi povratnu putanju, a to je pravilo kod provajdera, ne podešavanje na tvom ruteru. Meni koji nudi samo režim servera ne može da izgradi ovu izlaznu uslugu bez obzira na to kako je konfigurisan, a provajder koji podržava samo veze lokacija-lokacija može uspešno da poveže tunel ali da odbacuje sve što kroz njega pošalješ.
Zatim proveri kako tunel rukuje DNS-om. Ako profil gura rezolver, ruter bi trebalo da taj rezolver preda klijentima nizvodno; ako ne, klijenti nastavljaju da koriste rezolver provajdera i razrešavaju imena izvan tunela iako paketi idu unutra. Brza provera sa povezanog prenosnog računara: adresa koju vidiš na stranici IP odjeka trebalo bi da bude izlaz, a adresa rezolvera koja se koristi trebalo bi da bude ona koju je tunel dostavio.
Režim servera: neko drugi dolazi u tvoj LAN
Režim servera obrće smer. Ruter sluša, putni uređaj se povezuje, a zatim ruter odlučuje kojim kućnim resursima ta veza sme da pristupi. To je uloga koju želiš za NAS, laboratorijsku mašinu ili štampač, i ima uslov koji uloga klijenta nema: nešto spolja mora da može da dođe do slušaoca.
Na tom uslovu zapinje većina kućnih postavki. Ako ruter stoji iza provajderovog sopstvenog gejtveja, VPN port mora da se prosledi sa tog gejtveja ili ruter mora da se stavi u režim mosta ili DMZ. Iza carrier-grade NAT-a nema nikakvog ulaznog porta za prosleđivanje, pa dizajn mora da se promeni: izlazni tunel od rutera do releja, hostovane krajnje tačke ili mesh proizvoda. Server do kog ne može da se dođe nije pogrešno konfigurisan, on je nedostupan.
Identiteti se takođe razlikuju po ulozi. Kućni klijentski profil koji sve šalje na plaćeni izlaz je jedna zajednička tajna, dok server koji prima tri telefona i prenosni računar treba četiri identiteta koja možeš zasebno da opozoveš. Sertifikati i ključevi su po uređaju, a stranica za izvoz na ruteru trebalo bi da ti da jednu datoteku po uređaju, a ne jednu datoteku za celo domaćinstvo.
Proveri tačnu implementaciju pre nego što se obavežeš
Netgate dokumentacija o izboru VPN uloge razdvaja uloge na ovaj način i vredi pročitati ekvivalentnu stranicu za svoj firmver umesto da zaključuješ iz naziva kartica. Traži tri konkretne činjenice: koje protokole klijent može da govori, da li server podržava protokol koji koriste tvoji uređaji i da li pravilo rutiranja pokriva izvorne adrese, cele interfejse ili ništa.
Zatim pogledaj granicu podrške. Potrošački ruter sa karticom klijenta ali bez liste pravila poslaće svaki uređaj kroz tunel, što je u redu za streaming kutiju a pogrešno za radni prenosni računar kome treba kancelarijski tunel. Ruter sa karticom servera ali jednim zajedničkim profilom razuman je laboratorijski alat i loš izbor za porodicu, jer opoziv jednog uređaja znači menjanje konfiguracije svih.
Izaberi ulogu prema tome gde saobraćaj počinje
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Prođi izabrani red od početka do kraja pre nego što promeniš bilo šta drugo. Uključi ulogu, poveži jednog klijenta, potvrdi adresu pod kojom se pojavljuje, potvrdi koji rezolver koristi i potvrdi povratnu putanju u suprotnom smeru. Ako ruter ima i stranicu za zaštitni zid, proveri da novi interfejs nije blokiran podrazumevanim pravilom napisanim kad tunel nije postojao.
Kada su dostupne obe uloge i zahtev je zaista za obe, pokreni ih kao odvojene funkcije sa odvojenom dokumentacijom. Jedan ruter može da zove napolje za televizor i istovremeno prihvata telefonsku vezu sa NAS-om, ali ta dva pravila ne smeju da dele podmrežu, DNS podešavanje ili zonu zaštitnog zida, inače će prva promena koju napraviš za jedno pokvariti drugo.