VPN klient na routeri alebo režim servera: čo každý umožňuje
Jedna rola routera posiela váš prenos na vzdialený výstup, druhá vás pustí späť dnu. Prečítajte si ponuky, prihlasovacie údaje a spiatočnú cestu, než ktorúkoľvek zapnete.
Prihlásite sa do routera, otvoríte stránku VPN a nájdete dve karty, ktoré vyzerajú ako tá istá funkcia opísaná dvakrát: jedna chce súbor profilu odinakiaľ, druhá chce, aby ste vygenerovali certifikáty a vybrali port. Nie sú to dva pohľady na jedno nastavenie. Jedna rola núti router volať von, druhá ho núti odpovedať, a jedno zariadenie zvládne oboje, bez toho aby jedno pomáhalo druhému. Tu je, ako čítať ponuku a rozhodnúť sa, na ktorej strane ste, skôr než čokoľvek zapnete.
Otvorte ponuku VPN a prečítajte si názvy rolí
Začnite nadpismi sekcií, nie prepínačmi. Karta označená ako klient alebo „pripojiť sa k službe VPN“ očakáva importovaný profil, konfiguračný súbor alebo sadu prihlasovacích údajov vydaných niekým iným. Karta označená ako server očakáva, že vytvoríte identity, zvolíte protokol a port a zvyčajne exportujete profil pre každé zariadenie, ktoré sa pripojí.
Marketingový riadok na krabici považujte za neoverený, kým mu ponuka neodpovedá. „Podpora VPN“ môže znamenať klienta, server, pomocníka na prechod protokolu, ktorý iba preposiela pakety zariadeniu za routerom, alebo proprietárnu aplikáciu vzdialeného prístupu bez akéhokoľvek štandardného profilu. Tieto prípady rozlišuje iba dokumentácia firmvéru, a číslo modelu na nálepke nie.
Klientsky režim: vaša LAN odchádza cez cudzí výstup
V klientskom režime sa router správa ako notebook s aplikáciou VPN. Potrebuje kompatibilný protokol, profil alebo prihlasovacie údaje od vzdialeného operátora a rozhodnutie o smerovaní, ktoré zariadenia nižšie používajú tunel. Mnohé firmvéry ponúkajú zoznam pravidiel, v ktorom pomenujete zdrojové adresy alebo rozhrania, ktoré sa majú posielať tunelom, a zvyšok necháte na bežnom pripojení.
Časť, ktorá ticho zlyháva, je vzdialená strana. Koncový bod, ku ktorému sa pripájate, musí za vás preposielať internetovú prevádzku a poskytnúť spiatočnú cestu, a to je pravidlo u poskytovateľa, nie nastavenie na vašom routeri. Ponuka, ktorá ponúka iba serverový režim, túto odchádzajúcu službu nepostaví, nech sa nastaví akokoľvek, a poskytovateľ, ktorý podporuje iba spoje medzi lokalitami, môže tunel úspešne pripojiť, ale zahadzovať všetko, čo cez neho pošlete.
Ďalej skontrolujte, ako tunel narába s DNS. Ak profil pretlačí resolver, router by mal tento resolver odovzdať klientom nižšie; ak nie, klienti ďalej používajú resolver poskytovateľa a prekladajú názvy mimo tunela, aj keď pakety idú vnútri. Rýchla kontrola z pripojeného notebooku: adresa, ktorú vidíte na stránke ozveny IP, by mala byť výstupom, a používaná adresa resolvera by mala byť tá, ktorú dodal tunel.
Serverový režim: niekto iný prichádza do vašej LAN
Serverový režim obracia smer. Router počúva, cestovné zariadenie sa pripojí a potom router rozhodne, ku ktorým domácim zdrojom sa toto spojenie smie dostať. To je rola, ktorú chcete pre NAS, laboratórny stroj alebo tlačiareň, a má predpoklad, ktorý klientska rola nemá: niečo zvonku sa musí vedieť dostať k poslucháčovi.
Práve na tomto predpoklade sa zasekávajú väčšina domácich zostáv. Ak router stojí za vlastnou bránou poskytovateľa, port VPN sa musí presmerovať z tej brány, alebo sa router musí prepnúť do režimu mosta či DMZ. Za NAT na úrovni operátora nie je žiadny prichádzajúci port na presmerovanie, takže návrh sa musí zmeniť: odchádzajúci tunel z routera k relé, hostovanému koncovému bodu alebo mesh produktu. Server, ku ktorému sa nedá dostať, nie je zle nakonfigurovaný, je nedostupný.
Identity sa líšia aj podľa roly. Domáci klientsky profil, ktorý všetko posiela na platený výstup, je jedno spoločné tajomstvo, kým server, ktorý pustí tri telefóny a notebook, potrebuje štyri identity, ktoré môžete zrušiť jednotlivo. Certifikáty a kľúče sú pre každé zariadenie a stránka exportu routera by vám mala dať jeden súbor na zariadenie, nie jeden súbor pre celú domácnosť.
Pred záväzkom overte presnú implementáciu
Dokumentácia Netgate k výberu roly VPN oddeľuje roly týmto spôsobom a stojí za to prečítať si zodpovedajúcu stránku pre váš firmvér, namiesto odhadovania z názvov kariet. Hľadajte tri konkrétne fakty: akými protokolmi klient vie hovoriť, či server podporuje protokol, ktorý používajú vaše zariadenia, a či pravidlo smerovania pokrýva zdrojové adresy, celé rozhrania alebo vôbec nič.
Potom sa pozrite na hranicu podpory. Spotrebiteľský router s kartou klienta, ale bez zoznamu pravidiel, pošle tunelom každé zariadenie, čo je v poriadku pre streamovaciu krabicu a nesprávne pre pracovný notebook, ktorý potrebuje kancelársky tunel. Router s kartou servera, ale jediným spoločným profilom, je rozumný laboratórny nástroj a zlá voľba pre rodinu, pretože zrušenie jedného zariadenia znamená zmenu konfigurácie všetkých.
Vyberte rolu podľa toho, kde prevádzka začína
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Prejdite zvolený riadok od začiatku do konca, než zmeníte čokoľvek iné. Zapnite rolu, pripojte jedného klienta, potvrďte adresu, pod ktorou sa objavuje, potvrďte, ktorý resolver používa, a potvrďte spiatočnú cestu v opačnom smere. Ak má router aj stránku firewallu, skontrolujte, či nové rozhranie neblokuje predvolené pravidlo napísané v čase, keď tunel ešte neexistoval.
Keď sú dostupné obe roly a požiadavka je skutočne obe, prevádzkujte ich ako samostatné funkcie so samostatnou dokumentáciou. Jeden router môže volať von pre televízor a súčasne prijímať spojenie telefónu k NAS, ale obe pravidlá nesmú zdieľať podsieti, nastavenie DNS ani zónu firewallu, inak prvá zmena, ktorú pre jedno urobíte, rozbije druhé.