Odjemalec VPN na usmerjevalniku ali način strežnika: kaj omogoča kateri
Ena vloga usmerjevalnika pošilja vaš promet na oddaljeni izhod, druga vas spusti nazaj noter. Preden katero koli omogočite, preberite menije, poverilnice in povratno pot.
Prijavite se v usmerjevalnik, odprete stran VPN in najdete dva zavihka, ki izgledata kot ista funkcija, opisana dvakrat: eden hoče profilno datoteko od drugod, drugi hoče, da ustvarite potrdila in izberete vrata. To nista dva pogleda na eno nastavitev. Ena vloga prisili usmerjevalnik, da kliče navzven, druga, da odgovarja, in ena naprava zmore oboje, ne da bi ena pomagala drugi. Tukaj je, kako brati meni in se odločiti, na kateri strani ste, preden kar koli omogočite.
Odprite meni VPN in preberite imena vlog
Začnite z naslovi razdelkov, ne s stikali. Zavihek z oznako odjemalec ali »poveži se s storitvijo VPN« pričakuje uvoženo profilno datoteko, konfiguracijsko datoteko ali nabor poverilnic, ki jih je izdal nekdo drug. Zavihek z oznako strežnik pričakuje, da boste ustvarili identitete, izbrali protokol in vrata ter običajno izvozili profil za vsako napravo, ki se bo povezala.
Trženjsko vrstico na škatli obravnavajte kot nepotrjeno, dokler se meni z njo ne ujema. »Podpora VPN« lahko pomeni odjemalca, strežnik, pomočnika za prehod protokola, ki samo posreduje pakete napravi za usmerjevalnikom, ali lastniško aplikacijo za oddaljeni dostop brez kakršnega koli standardnega profila. Te primere razlikuje samo dokumentacija strojne programske opreme, številka modela na nalepki pa ne.
Odjemalski način: vaš LAN odide skozi tuj izhod
V odjemalskem načinu se usmerjevalnik obnaša kot prenosnik z aplikacijo VPN. Potrebuje združljiv protokol, profil ali poverilnice oddaljenega operaterja in odločitev o usmerjanju, katere naprave spodaj uporabljajo tunel. Veliko strojne programske opreme ponuja seznam pravil, kjer poimenujete izvorne naslove ali vmesnike, ki naj se pošiljajo skozi tunel, preostale pa pustite na običajni povezavi.
Del, ki tiho odpove, je oddaljena stran. Končna točka, s katero se povežete, mora za vas posredovati internetni promet in zagotoviti povratno pot, to pa je pravilo pri ponudniku, ne nastavitev na vašem usmerjevalniku. Meni, ki ponuja samo strežniški način, te storitve navzven ne more zgraditi, ne glede na to, kako je konfiguriran, ponudnik, ki podpira samo povezave med lokacijami, pa lahko tunel uspešno poveže, a zavrže vse, kar pošljete skozenj.
Nato preverite, kako tunel ravna z DNS. Če profil potisne razreševalnik, bi ga moral usmerjevalnik predati odjemalcem spodaj; če ne, odjemalci še naprej uporabljajo razreševalnik ponudnika in razrešujejo imena zunaj tunela, čeprav paketi gredo noter. Hitro preverjanje s povezanega prenosnika: naslov, ki ga vidite na strani z odmevom IP, bi moral biti izhod, uporabljeni naslov razreševalnika pa bi moral biti tisti, ki ga je zagotovil tunel.
Strežniški način: nekdo drug pride v vaš LAN
Strežniški način obrne smer. Usmerjevalnik posluša, potujoča naprava se poveže, nato pa usmerjevalnik odloči, do katerih domačih virov sme ta povezava priti. To je vloga, ki jo želite za NAS, laboratorijski stroj ali tiskalnik, in ima pogoj, ki ga odjemalska vloga nima: nekaj od zunaj mora doseči poslušalca.
Na tem pogoju se ustavi večina domačih postavitev. Če usmerjevalnik stoji za ponudnikovimi lastnimi vrati, je treba vrata VPN posredovati s teh vrat ali usmerjevalnik postaviti v način mostu ali DMZ. Za NAT na ravni operaterja ni nobenih dohodnih vrat za posredovanje, zato je treba zasnovo spremeniti: odhodni tunel od usmerjevalnika do releja, gostovane končne točke ali izdelka mreže. Strežnik, do katerega ni mogoče priti, ni napačno konfiguriran, je nedosegljiv.
Tudi identitete se razlikujejo glede na vlogo. Domači odjemalski profil, ki vse pošilja na plačan izhod, je ena skupna skrivnost, medtem ko strežnik, ki spusti noter tri telefone in prenosnik, potrebuje štiri identitete, ki jih lahko prekličete vsako posebej. Potrdila in ključi so za vsako napravo, stran za izvoz na usmerjevalniku pa bi vam morala dati eno datoteko na napravo, ne ene datoteke za vso gospodinjstvo.
Pred zavezo preverite natančno izvedbo
Dokumentacija Netgate o izbiri vloge VPN ločuje vloge na ta način, in vredno je prebrati ustrezno stran za svojo strojno programsko opremo, namesto da bi sklepali iz imen zavihkov. Poiščite tri konkretna dejstva: katere protokole zna odjemalec govoriti, ali strežnik podpira protokol, ki ga uporabljajo vaše naprave, in ali pravilo usmerjanja pokriva izvorne naslove, cele vmesnike ali nič.
Nato poglejte mejo podpore. Potrošniški usmerjevalnik z zavihkom odjemalca, a brez seznama pravil, bo poslal vsako napravo skozi tunel, kar je v redu za napravo za pretakanje in narobe za delovni prenosnik, ki potrebuje pisarniški tunel. Usmerjevalnik z zavihkom strežnika, a enim skupnim profilom, je razumno laboratorijsko orodje in slaba izbira za družino, ker preklic ene naprave pomeni spremembo konfiguracije vseh.
Vlogo izberite glede na to, kje se promet začne
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Preden spremenite karkoli drugega, pojdite po izbrani vrstici od začetka do konca. Omogočite vlogo, povežite enega odjemalca, potrdite naslov, s katerim se pojavi, potrdite, kateri razreševalnik uporablja, in potrdite povratno pot v nasprotni smeri. Če ima usmerjevalnik tudi stran požarnega zidu, preverite, da novega vmesnika ne blokira privzeto pravilo, napisano takrat, ko tunela še ni bilo.
Ko sta na voljo obe vlogi in zahteva resnično zahteva obe, ju izvajajte kot ločeni funkciji z ločeno dokumentacijo. En usmerjevalnik lahko kliče navzven za televizijo in hkrati sprejema telefonsko povezavo do NAS, vendar obe pravili ne smeta deliti podomrežja, nastavitve DNS ali območja požarnega zidu, sicer bo prva sprememba, ki jo naredite za eno, pokvarila drugo.