Telefoni jashtë VPN? Tunel në ruter apo klient në çdo pajisje

Laptopi është i lidhur me VPN-në, telefoni është në të njëjtin Wi-Fi dhe telefoni prapë shfleton nga adresa e ISP-së. Ky nuk është defekt i klientit: një tunel jeton në makinën që e përfundon dhe asgjë tjetër nuk e trashëgon nga afërsia. Mbulimi shtrihet vetëm kur ruteri e drejton vetë klientin, ose kur një makinë kthehet qëllimisht në portë për LAN-in. Cili model ju nevojitet vendoset nga tri gjëra: protokolli që ofruesi juaj me të vërtetë flet, sa ndryshe duhen trajtuar pajisjet dhe çfarë dështimi mund të përballoni në orën nëntë të mbrëmjes.

Çfarë mbulon në të vërtetë një tunel në ruter

Kur tuneli përfundon në ruter, çdo pajisje që rrugëton përmes tij ndan daljen. Kjo është joshja për një televizor, një konsolë ose një aparat që nuk do të drejtojë kurrë një klient: asgjë për të instaluar, asgjë për ta mbajtur të përditësuar dhe një vend i vetëm për të ndryshuar ofruesin.

Mbulimi është i kushtëzuar në mënyra që i befasojnë njerëzit. Një rrjet mysafirësh ose një SSID i dytë me politikën e vet ndjek rrugën që përcakton ajo politikë, jo tunelin. Një rrugë IPv6 mund të anashkalojë një tunel që mbart vetëm IPv4. Një pajisje me aplikacionin e vet VPN ose me zgjidhësin e vet të kriptuar e injoron ruterin plotësisht. Dhe trafiku i vetë ruterit, përfshirë përditësimet dhe DNS-në, ndjek politikën e tij të daljes, e cila është një rrugë tjetër nga trafiku i përcjellë i LAN-it.

Kontrolli është i njëjtë në të dy modelet dhe zgjat një minutë: pyesni dy pajisje se çfarë adrese sheh bota dhe pastaj shikoni në listën e lidhjeve të ruterit për tunelin. Nëse telefoni raporton adresën e ISP-së ndërsa ruteri tregon një tunel të vendosur, telefoni nuk rrugëtohet përmes tij dhe asnjë rilidhje nuk e ndryshon këtë.

Ku fiton klienti në çdo pajisje

Klientët në çdo pajisje fitojnë sapo kërkesat ndryshojnë. Një laptop pune mund të ketë nevojë për një tunel korporativ ku telefoni nuk duhet të hyjë; klienti i ofruesit mund të ofrojë tunel të ndarë sipas aplikacionit, gjë që ruteri nuk mund ta shprehë; një konsolë mund të duhet të mbetet jashtë për të ruajtur llojin e vet NAT. Çdo pajisje dështon edhe vetë, kështu që një abonim i skaduar nuk e hesht të gjithë shtëpinë.

Kredencialet janë argumenti më i mprehtë. Një ruter që lidhet në emër të të gjithëve mban një llogari të vetme dhe çdo person në atë rrjet trashëgon aksesin e saj. Nëse qëllimi është vërtetimi i çdo personi përpara aksesit në internet, një tunel në ruter i vetëm nuk e bën dot. Dizajni i zakonshëm është një portal captive që vërteton llogarinë dhe pastaj e lëshon klientin në një tunel tashmë të vendosur, gjë që janë më shumë pjesë lëvizëse sesa dëshirojnë shumica e shtëpive.

Mbështetja e protokolleve vendos më shumë raste sesa preferenca

Ruterët e konsumatorit ofrojnë vetëm protokollet që solli prodhuesi. Një ruter me PPTP, L2TP ose IPsec të thjeshtë nuk mund të lidhet me një ofrues që publikon vetëm profile OpenVPN ose WireGuard, dhe asnjë konfigurim nuk e ndryshon këtë. Opsionet e ndershme janë një ofrues që flet një protokoll të mbështetur, një ruter me OpenWrt ose firmware tjetër me klientin që ju nevojitet, ose një klient në çdo pajisje.

Rasti i kundërt është po aq i zakonshëm: një ruter i aftë për OpenVPN nuk mund të përdorë një ofrues shërbimi i të cilit varet nga një klient pronësor dhe nga truket e tij të rrugëtimit. Lexoni faqen e ofruesit për protokollet e mbështetura përpara se të blini hardware dhe kontrolloni versionin e firmware-it, sepse «mbështet WireGuard» në një faqe produkti shpesh nënkupton një gjeneratë të caktuar firmware-i.

Një ruter udhëtimi me klient WireGuard është versioni i lirë i modelit me ruter dhe një përgjigje e arsyeshme për disa pajisje që nuk mund të drejtojnë një klient. Është ende tunel në ruter, kështu që gjithçka më sipër për rrjetet mysafire, IPv6 dhe dështimin e përbashkët vlen pa ndryshim.

Opsioni i tretë: një makinë si portë

Ndarja e një klienti nga laptopi është e mundur dhe këtë njerëzit zakonisht nënkuptojnë kur thonë se e kthyen laptopin në ruter.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funksionon derisa makina të flejë, klienti të rilidhet në një profil tjetër ose muri i zjarrit i makinës të hedhë paketat e përcjella. Atëherë gjithçka pas saj humb lidhjen përnjëherë dhe dështimi duket si rrjet i vdekur, jo si problem VPN.

Për një laborator ose një konfigurim të përkohshëm është në rregull. Si rregullim i përhershëm e bën një laptop pikën e vetme të dështimit të një shtëpie dhe zakonisht përfundon me dikë që pyet pse televizori ndaloi së punuari kur u mbyll një kapak.

Portat hyrëse, DNS dhe dështimi i përbashkët

Shërbimet hyrëse lëvizin me tunelin. Një VPN në ruter zakonisht prish përcjelljen e portave për një server të LAN-it, dhe një emër dinamik DNS duhet të tregojë daljen e VPN-së, jo adresën e ISP-së, nëse shërbimi duhet të jetë i arritshëm përmes tunelit. Disa ofrues nuk ofrojnë fare adresë hyrëse të rrugëtueshme, gjë që i jep fund në heshtje çdo plani që mbështetej në një të tillë.

DNS ndjek ruterin kur ruteri zotëron tunelin, gjë që është e përshtatshme derisa një pajisje të ketë nevojë për një zgjidhës tjetër. Një klient në çdo pajisje mund ta shprehë këtë; një politikë ruteri nuk mundet pa e ndarë rrjetin në dysh. Dështimi ndahet gjithashtu, sepse një rrëzim, një abonim i skaduar ose një rrugë e shtyrë e gabuar i shkëput të gjitha pajisjet në të njëjtin moment.

Zgjidhni modelin me ruter kur pajisjet nuk mund të drejtojnë klientë dhe një dalje e vetme është e pranueshme. Zgjidhni klientë në çdo pajisje kur politikat ndryshojnë, kur ofruesi kërkon një protokoll që ruteri nuk e ka ose kur llogaria nuk duhet të ndahet. Nëse një makinë është porta, shkruani cili ndërfaqe ndan cilin rrjet dhe provoni rastin «tunel poshtë», sepse në atë gjendje shumica e këtyre modeleve dalin të gabuara.