VPN клијент на рутеру или режим сервера: шта сваки омогућава
Једна улога рутера шаље твој саобраћај на удаљени излаз, друга те пушта унутра. Прочитај меније, акредитиве и повратну путању пре него што укључиш било коју.
Пријавиш се на рутер, отвориш VPN страницу и нађеш две картице које изгледају као иста функција описана два пута: једна тражи датотеку профила однекуд другде, друга тражи да генеришеш сертификате и изабереш порт. То нису два приказа једног подешавања. Једна улога тера рутер да зове напоље, друга га тера да одговара, и један уређај може да ради обоје, а да једно не помаже другом. Ево како да читаш мени и одлучиш на којој си страни пре него што било шта укључиш.
Отвори мени VPN-а и прочитај називе улога
Почни са насловима одељака, а не са прекидачима. Картица означена као клијент или „повежи се на VPN услугу“ очекује увезени профил, конфигурациону датотеку или скуп акредитива које је издао неко други. Картица означена као сервер очекује да створиш идентитете, изабереш протокол и порт и обично извезеш профил за сваки уређај који ће се повезати.
Третирај маркетиншки ред на кутији као непотврђен док му мени не одговара. „VPN подржан“ може да значи клијент, сервер, помоћник за пропуштање протокола који само прослеђује пакете уређају иза рутера, или власничку апликацију за даљински приступ без икаквог стандардног профила. Само документација фирмвера разликује те случајеве, а број модела на налепници не.
Режим клијента: твој LAN излази кроз туђи излаз
У режиму клијента рутер се понаша као преносни рачунар са VPN апликацијом. Потребни су му компатибилан протокол, профил или акредитиви од удаљеног оператера и одлука о рутирању који уређаји низводно користе тунел. Многи фирмвери нуде листу правила у којој именујеш изворне адресе или интерфејсе које треба слати кроз тунел, а остале остављаш на нормалној вези.
Део који тихо пада јесте удаљена страна. Крајња тачка на коју се повезујеш мора да прослеђује интернет саобраћај за тебе и обезбеди повратну путању, а то је правило код провајдера, не подешавање на твом рутеру. Мени који нуди само режим сервера не може да изгради ову излазну услугу без обзира на то како је конфигурисан, а провајдер који подржава само везе локација-локација може успешно да повеже тунел али да одбацује све што кроз њега пошаљеш.
Затим провери како тунел рукује DNS-ом. Ако профил гура резолвер, рутер би требало да тај резолвер преда клијентима низводно; ако не, клијенти настављају да користе резолвер провајдера и разрешавају имена изван тунела иако пакети иду унутра. Брза провера са повезаног преносног рачунара: адреса коју видиш на страници IP одјека требало би да буде излаз, а адреса резолвера која се користи требало би да буде она коју је тунел доставио.
Режим сервера: неко други долази у твој LAN
Режим сервера обрће смер. Рутер слуша, путни уређај се повезује, а затим рутер одлучује којим кућним ресурсима та веза сме да приступи. То је улога коју желиш за NAS, лабораторијску машину или штампач, и има услов који улога клијента нема: нешто споља мора да може да дође до слушаоца.
На том услову запиње већина кућних поставки. Ако рутер стоји иза провајдеровог сопственог гејтвеја, VPN порт мора да се проследи са тог гејтвеја или рутер мора да се стави у режим моста или DMZ. Иза carrier-grade NAT-а нема никаквог улазног порта за прослеђивање, па дизајн мора да се промени: излазни тунел од рутера до релеја, хостоване крајње тачке или mesh производа. Сервер до ког не може да се дође није погрешно конфигурисан, он је недоступан.
Идентитети се такође разликују по улози. Кућни клијентски профил који све шаље на плаћени излаз једна је заједничка тајна, док сервер који прима три телефона и преносни рачунар треба четири идентитета која можеш засебно да опозовеш. Сертификати и кључеви су по уређају, а страница за извоз на рутеру требало би да ти да једну датотеку по уређају, а не једну датотеку за цело домаћинство.
Провери тачну имплементацију пре него што се обавежеш
Netgate документација о избору VPN улоге раздваја улоге на овај начин и вреди прочитати еквивалентну страницу за свој фирмвер уместо да закључујеш из назива картица. Тражи три конкретне чињенице: које протоколе клијент може да говори, да ли сервер подржава протокол који користе твоји уређаји и да ли правило рутирања покрива изворне адресе, целе интерфејсе или ништа.
Затим погледај границу подршке. Потрошачки рутер са картицом клијента али без листе правила послаће сваки уређај кроз тунел, што је у реду за streaming кутију а погрешно за радни преносни рачунар коме треба канцеларијски тунел. Рутер са картицом сервера али једним заједничким профилом разуман је лабораторијски алат и лош избор за породицу, јер опозив једног уређаја значи мењање конфигурације свих.
Изабери улогу према томе где саобраћај почиње
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Прођи изабрани ред од почетка до краја пре него што промениш било шта друго. Укључи улогу, повежи једног клијента, потврди адресу под којом се појављује, потврди који резолвер користи и потврди повратну путању у супротном смеру. Ако рутер има и страницу за заштитни зид, провери да нови интерфејс није блокиран подразумеваним правилом написаним кад тунел није постојао.
Када су доступне обе улоге и захтев је заиста за обе, покрени их као одвојене функције са одвојеном документацијом. Један рутер може да зове напоље за телевизор и истовремено прихвата телефонску везу са NAS-ом, али та два правила не смеју да деле подмрежу, DNS подешавање или зону заштитног зида, иначе ће прва промена коју направиш за једно покварити друго.