Телефон изван VPN-а? Тунел на рутеру против клијента по уређају

Лаптоп је повезан на VPN, телефон је на истом Wi-Fi-ју, а телефон ипак сурфује са ISP адресе. То није грешка клијента: тунел живи на машини која га завршава и ништа друго га не наслеђује близином. Покривеност се шири само кад рутер сам покреће клијента, или кад се машина намерно претвори у гејтвеј за LAN. Који модел желите одређују три ствари: протокол који ваш провајдер заиста говори, колико различито уређаје треба третирати и који квар можете поднети у девет навече.

Шта тунел на рутеру заиста покрива

Када се тунел заврши на рутеру, сваки уређај који рутира кроз њега дели излаз. То је привлачност за телевизор, конзолу или апарат који никада неће покретати клијент: ништа за инсталирање, ништа за ажурирање и једно место за промену провајдера.

Покривеност је условна на начине који људе изненаде. Гостинска мрежа или други SSID са сопственом политиком иде путем који та политика одређује, не тунелом. IPv6 пут може заобићи тунел који носи само IPv4. Уређај са сопственом VPN апликацијом или сопственим шифрованим резолвером потпуно игнорише рутер. А рутеров сопствени саобраћај, укључујући ажурирања и DNS, следи његову излазну политику, која је други пут од прослеђеног саобраћаја LAN-а.

Провера је иста у оба модела и траје минут: питајте два уређаја коју адресу свет види, па погледајте у рутеровој листи веза има ли тунела. Ако телефон пријављује ISP адресу док рутер показује успостављен тунел, телефон се не рутира кроз њега, и никакво поновно повезивање то не мења.

Где клијент по уређају побеђује

Клијенти по уређају побеђују чим се захтеви разиђу. Радни лаптоп може требати корпоративни тунел у који телефон не сме ући; провајдеров клијент може нудити подељени тунел по апликацији, што рутер не може изразити; конзола можда мора остати изван да задржи свој NAT тип. Сваки уређај и сам отказује, па једна истекла претплата не ућуткује целу кућу.

Акредитиви су оштрији аргумент. Рутер који се повезује у име свих држи један рачун, а свака особа на тој мрежи наслеђује његов приступ. Ако је намера провера идентитета по особи пре приступа интернету, сам тунел на рутеру то не може. Уобичајен дизајн је captive portal који потврди рачун и затим пусти клијента у већ успостављен тунел, што је више покретних делова него што већина кућа жели.

Подршка за протоколе одлучује више случајева од склоности

Потрошачки рутери излажу само протоколе које је произвођач испоручио. Рутер са PPTP-ом, L2TP-ом или обичним IPsec-ом не може се повезати с провајдером који објављује искључиво OpenVPN или WireGuard профиле, и никаква конфигурација то не мења. Искрене опције су провајдер који говори подржани протокол, рутер са OpenWrt-ом или другим фирмвером с клијентом који вам треба, или клијент на сваком уређају.

Обрнут случај је једнако чест: рутер који подржава OpenVPN не може користити провајдера чија услуга зависи од сопственог клијента и његових трикова с рутирањем. Прочитајте страницу провајдера о подржаним протоколима пре куповине хардвера и проверите верзију фирмвера, јер 'подржава WireGuard' на страници производа често значи једну одређену генерацију фирмвера.

Путни рутер са WireGuard клијентом је јефтина верзија рутерског модела и разуман одговор за неколико уређаја који не могу покретати клијент. И даље је тунел на рутеру, па све горе о гостинским мрежама, IPv6 и заједничком кварy важи непромењено.

Трећа опција: машина као гејтвеј

Дељење клијента с лаптопа је могуће, и то људи обично мисле кад кажу да су лаптоп претворили у рутер.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Ради док машина не заспи, клијент се не повеже поново у други профил или сопствени фирмвер машине не одбаци прослеђене пакете. Тада све иза ње изгуби везу одједном, а квар изгледа као мртва мрежа, а не као VPN проблем.

За лабораторију или привремену поставку је у реду. Као трајно решење чини један лаптоп једином тачком квара за домаћинство, и обично се заврши тако што се неко пита зашто је телевизор престао да ради кад се поклопац затворио.

Долазни портови, DNS и квар који делите

Долазне услуге се селе с тунелом. Рутер VPN обично поквари прослеђивање портова за LAN сервер, а динамичко DNS име мора показивати на VPN излаз, а не на ISP адресу, ако услуга треба да буде доступна кроз тунел. Неки провајдери уопште не нуде рутабилну долазну адресу, што тихо оконча сваки план који је на њој почивао.

DNS следи рутер када рутер поседује тунел, што је згодно док једном уређају не затреба други резолвер. Клијент по уређају то може изразити; рутерска политика не може без дељења мреже на двоје. Квар се такође дели, јер један пад, једна истекла претплата или једна лоша гурнута рута одспаја сваки уређај у истом тренутку.

Изаберите рутерски модел када уређаји не могу покретати клијенте и један излаз је прихватљив. Изаберите клијенте по уређају када се политике разликују, када провајдер тражи протокол који рутер нема или када се рачун не сме делити. Ако је машина гејтвеј, запишите које сучеље дели коју мрежу и тестирајте случај 'тунел пао', јер то је стање у којем се већина ових дизајнова покаже погрешном.