Broläge är inte VPN-pass-through: vad var och en ändrar
Broläge ändrar routerns vidarebefordranroll; pass-through släpper bara igenom en klients VPN. Ingen av dem skapar en tunnel, så de är inte utbytbara.
Broläge och VPN-pass-through nämns i samma felsökningstråd eftersom båda erbjuds som en lösning på en VPN som inte ansluter. De beskriver olika routerfunktioner, och ingen av dem skapar en VPN-tunnel på egen hand. Bryggning ändrar hur en enhet ansluter till nätverkssegment eller vem som gör routningen; pass-through avgör om en klients VPN-trafik kan passera en gateway. Fel val förvandlar ett litet problem till en hel eftermiddag av ny adressering.
Två etiketter, två olika funktioner
Testet är enkelt: försöker du ändra nätverkets form, eller låta trafik som redan finns passera genom det? Det är olika förfrågningar med olika konsekvenser.
Jämförelsen i en tabell:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Bara de två sista skapar en tunnel på routern. Bryggning och pass-through lämnar båda ändpunkten någon annanstans, och därför kan ingen av dem lösa ett problem som orsakas av en saknad klient eller en server som inte går att nå. Skillnaden är lätt att tappa bort eftersom inställningarna ligger nära varandra i samma gränssnitt. Skriv ned vilken ändpunkt som äger tunneln innan du öppnar den sidan.
En kryssruta för pass-through är inte heller en fullständig beskrivning av protokollstödet. Modern IPsec NAT-traversering använder standardiserad UDP-inkapsling, medan äldre hjälpfunktioner har implementeringsspecifikt beteende.
En marknadsföringsetikett som säger VPN-stöd berättar inte vilken av dessa fyra roller den menar.
Vad broläge ändrar på din enhet
På ett modem eller en router flyttar broalternativet vanligtvis ansvaret för routning och NAT till en annan gateway längre ned. På en mjukvaruenhet kan det innebära att valda lokala gränssnitt slås samman till en enda broadcastdomän i stället. Den exakta omfattningen beror på produkten, så läs dokumentationen för modellen och inte för ordet. Båda tolkningarna ändrar adresstilldelning, brandväggsgränser och hur du når administrationen.
Det sista är anledningen till att bryggning är ett dåligt första svar på ett VPN-fel. Du kan förlora hanteringsvägen medan det ursprungliga problemet fortfarande är olöst.
Ta en säkerhetskopia av konfigurationen innan du ändrar nätverksrollen, eftersom adresseringen kan flytta med den.
Välj rollen före inställningen
För att skicka hushållstrafik genom en extern utgång behöver du en kompatibel router-VPN-klient, inte en bro. För att ansluta tillbaka hem från någon annanstans behöver du serverrollen plus en uppströmsväg som kan nå den. De två kraven har nästan ingenting gemensamt utöver ordet VPN. Bestäm vilken du bygger innan du tittar på en meny.
En enhet kan stödja båda rollerna och ändå inte stödja den du behöver i den takt du förväntar dig.
Rollen är ett designval; inställningen är en konsekvens av det.
Om bara ett protokoll misslyckas
När ett protokoll misslyckas bakom en router som annars fungerar, undersök den protokollens transport och NAT-väg först. Att ändra hela gateway-läget för att fixa en enda klient är som att byta elinstallation i huset för att en lampa är trasig. Kontrollera om trafiken är UDP-inkapslad, om routerns hjälpfunktion gäller för det protokollet och om felet är symmetriskt. Bestäm sedan om en rolländring verkligen är motiverad.
RFC 3948 beskriver den UDP-inkapsling som gör att IPsec överlever NAT, och det är standarden att kontrollera innan du litar på en kryssruta för pass-through.
Anteckna vad du ändrade och varför, för nästa person hittar enheten i broläge och utgår från att det var avsiktligt. Det korrekta resultatet är ett nätverk vars form du valde, inte ett du ärvde från en felsökningssession.