Telefon zunaj VPN? Tunel na usmerjevalniku ali odjemalec na vsaki napravi

Prenosnik je povezan z VPN, telefon je v istem omrežju Wi-Fi in telefon vseeno brska z naslova ISP. To ni napaka odjemalca: tunel živi na stroju, ki ga zaključi, in nič drugega ga ne podeduje zaradi bližine. Pokritost se širi le, ko usmerjevalnik sam zažene odjemalca, ali ko se stroj namenoma spremeni v prehod za LAN. Kateri model želite, odločajo tri stvari: protokol, ki ga vaš ponudnik resnično govori, kako različno je treba obravnavati naprave in katero napako prenesete ob devetih zvečer.

Kaj tunel na usmerjevalniku v resnici pokrije

Ko se tunel zaključi na usmerjevalniku, si vse naprave, ki usmerjajo skozi njega, delijo izhod. To je privlačno za televizor, konzolo ali napravo, ki nikoli ne bo zagnala odjemalca: ničesar ni treba namestiti, ničesar vzdrževati in eno mesto za zamenjavo ponudnika.

Pokritost je pogojna na načine, ki ljudi presenetijo. Gostujoče omrežje ali drugi SSID z lastnim pravilnikom gre po poti, ki jo določa ta pravilnik, ne po tunelu. Pot IPv6 lahko obide tunel, ki prenaša le IPv4. Naprava z lastno aplikacijo VPN ali lastnim šifriranim razreševalnikom popolnoma ignorira usmerjevalnik. In lastni promet usmerjevalnika, vključno s posodobitvami in DNS, sledi njegovi izhodni politiki, ki je druga pot kot posredovani promet LAN.

Preverjanje je v obeh modelih enako in traja minuto: vprašajte dve napravi, kateri naslov vidi svet, nato pa v seznamu povezav usmerjevalnika poiščite tunel. Če telefon poroča naslov ISP, medtem ko usmerjevalnik kaže vzpostavljen tunel, telefon ni usmerjen skozi njega, in nobeno ponovno povezovanje tega ne spremeni.

Kje zmaga odjemalec na vsaki napravi

Odjemalci na vsaki napravi zmagajo takoj, ko se zahteve razhajajo. Delovni prenosnik morda potrebuje podjetniški tunel, v katerega telefon ne sme; odjemalec ponudnika morda ponuja razdeljen tunel po aplikaciji, česar usmerjevalnik ne zna izraziti; konzola morda mora ostati zunaj, da obdrži svoj tip NAT. Vsaka naprava tudi sama odpove, zato ena potekla naročnina ne utiša cele hiše.

Poverilnice so ostrejši argument. Usmerjevalnik, ki se povezuje v imenu vseh, hrani en račun, in vsaka oseba v tem omrežju podeduje njegov dostop. Če je namen preverjanje vsake osebe pred dostopom do interneta, sam tunel na usmerjevalniku tega ne zmore. Običajna rešitev je ujetniški portal, ki potrdi račun in nato spusti odjemalca v že vzpostavljen tunel, kar je več gibljivih delov, kot jih želi večina domov.

Podpora protokolom odloči več primerov kot naklonjenost

Potrošniški usmerjevalniki ponujajo le protokole, ki jih je dobavil proizvajalec. Usmerjevalnik s PPTP, L2TP ali navadnim IPsec se ne more povezati s ponudnikom, ki objavlja izključno profile OpenVPN ali WireGuard, in nobena konfiguracija tega ne spremeni. Poštene možnosti so ponudnik, ki govori podprt protokol, usmerjevalnik z OpenWrt ali drugim vdelanim programjem s potrebnim odjemalcem, ali odjemalec na vsaki napravi.

Nasprotni primer je prav tako pogost: usmerjevalnik, ki zmore OpenVPN, ne more uporabiti ponudnika, katerega storitev je odvisna od lastnega odjemalca in njegovih lastnih usmerjevalnih trikov. Pred nakupom strojne opreme preberite stran ponudnika o podprtih protokolih in preverite različico vdelanega programja, ker „podpira WireGuard“ na strani izdelka pogosto pomeni eno določeno generacijo vdelanega programja.

Potovalni usmerjevalnik z odjemalcem WireGuard je poceni različica modela usmerjevalnika in razumen odgovor za peščico naprav, ki ne morejo zagnati odjemalca. Še vedno je tunel na usmerjevalniku, zato vse zgoraj o gostujočih omrežjih, IPv6 in skupni napaki velja nespremenjeno.

Tretja možnost: stroj kot prehod

Deljenje odjemalca s prenosnika je mogoče, in to ljudje običajno mislijo, ko rečejo, da so prenosnik spremenili v usmerjevalnik.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Deluje, dokler stroj ne zaspi, odjemalec se ne poveže znova v drug profil ali lastni požarni zid stroja ne zavrže posredovanih paketov. Takrat vse za njim izgubi povezljivost hkrati, in napaka je videti kot mrtvo omrežje, ne kot težava VPN.

Za laboratorij ali začasno postavitev je v redu. Kot trajna ureditev naredi en prenosnik edino točko odpovedi v gospodinjstvu, in običajno se konča tako, da se nekdo sprašuje, zakaj je televizor prenehal delovati, ko se je pokrov zaprl.

Vhodna vrata, DNS in skupna napaka

Vhodne storitve se premikajo s tunelom. VPN na usmerjevalniku običajno pokvari posredovanje vrat za strežnik v LAN, in dinamično ime DNS mora kazati na izhod VPN, ne na naslov ISP, če mora biti storitev dosegljiva skozi tunel. Nekateri ponudniki sploh ne ponujajo usmerljivega vhodnega naslova, kar tiho konča vsak načrt, ki je temeljil na njem.

DNS sledi usmerjevalniku, ko je usmerjevalnik lastnik tunela, kar je priročno, dokler ena naprava ne potrebuje drugega razreševalnika. Odjemalec na vsaki napravi to zna izraziti; politika usmerjevalnika tega ne more brez razdelitve omrežja na dvoje. Tudi napaka je skupna, ker en zlom, ena potekla naročnina ali ena slaba potisnjena pot odklopi vsako napravo v istem trenutku.

Izberite model usmerjevalnika, ko naprave ne morejo zagnati odjemalcev in je en izhod sprejemljiv. Izberite odjemalce na vsaki napravi, ko se politike razlikujejo, ko ponudnik potrebuje protokol, ki ga usmerjevalnik nima, ali ko računa ni dovoljeno deliti. Če je stroj prehod, zapišite, kateri vmesnik deli katero omrežje, in preizkusite primer „tunel dol“, ker v tem stanju se večina teh zasnov izkaže za napačne.