Telefón mimo VPN? Tunel na routeri alebo klient v každom zariadení

Notebook je pripojený k VPN, telefón je na tej istej Wi-Fi, a napriek tomu telefón prehliada z adresy ISP. To nie je chyba klienta: tunel žije na stroji, ktorý ho ukončuje, a nič iné ho nededia vďaka blízkosti. Pokrytie sa šíri len vtedy, keď router sám spúšťa klienta, alebo keď sa stroj zámerne premení na bránu pre LAN. Ktorý model chcete, rozhodujú tri veci: protokol, ktorým váš poskytovateľ skutočne hovorí, ako odlišne treba so zariadeniami zaobchádzať, a akú poruchu znesiete o deviatej večer.

Čo tunel na routeri skutočne pokrýva

Keď tunel končí na routeri, každé zariadenie, ktoré cez neho smeruje, zdieľa výstup. To je príťažlivé pre televízor, konzolu alebo spotrebič, ktorý nikdy nespustí klienta: nič na inštaláciu, nič na udržiavanie aktuálne a jedno miesto na zmenu poskytovateľa.

Pokrytie je podmienené spôsobmi, ktoré ľudí prekvapujú. Hostiteľská sieť alebo druhé SSID s vlastnou politikou ide cestou, ktorú táto politika určuje, nie tunelom. Cesta IPv6 môže obísť tunel, ktorý prenáša len IPv4. Zariadenie s vlastnou aplikáciou VPN alebo vlastným šifrovaným resolverom router úplne ignoruje. A vlastná prevádzka routera, vrátane aktualizácií a DNS, sa riadi jeho výstupnou politikou, čo je iná cesta než preposielaná prevádzka LAN.

Kontrola je v oboch modeloch rovnaká a trvá minútu: opýtajte sa dvoch zariadení, akú adresu svet vidí, a potom sa pozrite do zoznamu pripojení routera na tunel. Ak telefón hlási adresu ISP, zatiaľ čo router ukazuje nadviazaný tunel, telefón cez neho nie je smerovaný, a žiadne opätovné pripojenie to nezmení.

Kde klient v každom zariadení vyhráva

Klienti v každom zariadení vyhrávajú, len čo sa požiadavky rozchádzajú. Pracovný notebook môže potrebovať podnikový tunel, do ktorého telefón nesmie; klientska aplikácia poskytovateľa môže ponúkať rozdelený tunel podľa aplikácie, čo router nevie vyjadriť; konzola môže musieť zostať vonku, aby si udržala svoj typ NAT. Každé zariadenie tiež zlyháva samo za seba, takže jedno prepadnuté predplatné neučiní celý dom tichým.

Prihlasovacie údaje sú ostrejší argument. Router, ktorý sa pripája za všetkých, drží jeden účet, a každý človek v tej sieti dedí jeho prístup. Ak je zámerom overovanie každej osoby pred prístupom k internetu, samotný tunel na routeri to nevie. Zvyčajným riešením je captive portál, ktorý overí účet a potom pustí klienta do už nadviazaného tunela, čo je viac pohyblivých častí, než chce väčšina domácností.

Podpora protokolov rozhoduje viac prípadov než preferencia

Spotrebiteľské routery ponúkajú len protokoly, ktoré výrobca dodal. Router s PPTP, L2TP alebo obyčajným IPsec sa nepripojí k poskytovateľovi, ktorý zverejňuje výhradne profily OpenVPN alebo WireGuard, a žiadna konfigurácia to nezmení. Poctivé možnosti sú poskytovateľ hovoriaci podporovaným protokolom, router s OpenWrt alebo iným firmvérom s potrebným klientom, alebo klient v každom zariadení.

Opačný prípad je rovnako častý: router schopný OpenVPN nemôže použiť poskytovateľa, ktorého služba závisí od vlastného klienta a jeho vlastných smerovacích trikov. Prečítajte si stránku poskytovateľa o podporovaných protokoloch, než kúpite hardvér, a skontrolujte verziu firmvéru, pretože „podporuje WireGuard“ na stránke produktu často znamená jednu konkrétnu generáciu firmvéru.

Cestovný router s klientom WireGuard je lacná verzia modelu routera a rozumná odpoveď pre hŕstku zariadení, ktoré nemôžu spustiť klienta. Stále je to tunel na routeri, takže všetko vyššie o hostiteľských sieťach, IPv6 a zdieľanej poruche platí bez zmeny.

Tretia možnosť: stroj ako brána

Zdieľanie klienta z notebooku je možné, a to ľudia zvyčajne myslia, keď hovoria, že z notebooku urobili router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funguje to, kým stroj nezaspí, klient sa nepripojí znova v inom profile alebo vlastný firewall stroja nezahodí preposielané pakety. Potom všetko za ním stratí pripojenie naraz, a porucha vyzerá ako mŕtva sieť, nie ako problém VPN.

Pre laboratórium alebo dočasné usporiadanie je to v poriadku. Ako trvalé riešenie robí z jedného notebooku jediný bod zlyhania domácnosti, a zvyčajne to skončí tým, že sa niekto čuduje, prečo televízor prestal fungovať, keď sa zavrelo veko.

Prichádzajúce porty, DNS a zdieľaná porucha

Prichádzajúce služby sa pohybujú s tunelom. VPN na routeri zvyčajne rozbije presmerovanie portov pre server v LAN, a dynamické meno DNS musí ukazovať na výstup VPN, nie na adresu ISP, ak má byť služba dostupná cez tunel. Niektorí poskytovatelia neponúkajú vôbec žiadnu smerovateľnú prichádzajúcu adresu, čo ticho ukončí každý plán, ktorý na nej stál.

DNS nasleduje router, keď router vlastní tunel, čo je pohodlné, kým jedno zariadenie nepotrebuje iný resolver. Klient v každom zariadení to vie vyjadriť; politika routera nie, bez rozdelenia siete na dve. Porucha je tiež zdieľaná, pretože jeden pád, jedno prepadnuté predplatné alebo jedna zlá vynútená trasa odpojí každé zariadenie v tej istej chvíli.

Zvoľte model routera, keď zariadenia nemôžu spúšťať klientov a jedno vyústenie je prijateľné. Zvoľte klientov v každom zariadení, keď sa politiky líšia, keď poskytovateľ potrebuje protokol, ktorý router nemá, alebo keď sa účet nesmie zdieľať. Ak je stroj bránou, zapíšte, ktoré rozhranie zdieľa ktorú sieť, a otestujte prípad „tunel spadol“, pretože v tom stave sa väčšina týchto návrhov ukáže ako chybná.