Kontrollera routerns klientroll innan du importerar en VPN-profil

En specifikationssida med VPN-logotyp säger att boxen kan göra något med VPN. Den säger inte att firmware kan agera som klient för protokollet i filen du håller i handen. Det är olika förmågor med olika krav, och gapet mellan dem är där de flesta sådana här köp går fel. Kontrollera rollen före märket.

Fyra kontroller gör en funktionslista till ett svar.

En VPN-logotyp är inte en kapacitetsdeklaration

Routrar annonserar VPN-stöd i minst tre betydelser: genomgång för trafik från andra enheter, en server som tar emot inkommande tunnlar och en klient som startar en utgående tunnel. Bara den tredje använder profilen du laddade ner. Särskilt genomgång av IPsec är en NAT-hjälpare och inte en ändpunkt, och den dyker upp på enheter som inte alls kan avsluta eller starta IPsec.

Fråga vilken roll filen behöver och fråga sedan om den rollen finns i firmwareversionen på enheten.

Läs funktionslistan för den firmware du faktiskt kör

Modellnamn är inte firmwareversioner, och en guide skriven för föregående huvudutgåva beskriver en annan funktionsuppsättning. På OpenWrt går frågan att besvara från ett skal: opkg list-installed | grep -E "openvpn|wireguard" visar om klientpaketen finns, och WireGuard-kärnmodulen är skild från användarrymdens verktyg. På en leverantörsenhet läser du versionsanteckningarna för den installerade byggningen i stället för modellens marknadsföringssida.

Om förmågan levereras som ett paket, bekräfta att det är installerat och inte bara tillgängligt i förrådet.

Anpassa profilformatet till importören

En OpenVPN-profil är ett direktivspråk. En WireGuard-peerfil är en INI med en privat nyckel och en lista över tillåtna IP-adresser. IKEv2-uppgifter är ett certifikat eller ett användarnamn plus en serveridentitet. Ett routerformulär som accepterar en av dem översätter inte de andra, och en importknapp som påstår sig acceptera allt förtjänar misstro.

Öppna filen och läs de tio första raderna. Det säger vilken importör du behöver innan någon meny gör det.

Kontrollera de alternativ profilen faktiskt använder

Stöd för protokollet är inte stöd för din profil. Titta på de direktiv som bär säkerhetsegenskaperna: inbäddade certifikat, tls-crypt eller tls-auth, val av chiffer och datachiffer, komprimering och skriptkrokar. En routerimplementation kan acceptera filen och tyst ignorera ett direktiv som den inte implementerar, vilket ger en tunnel som ansluter och beter sig annorlunda än den på din bärbara dator.

Det farliga utfallet är inte en avvisad import. Det är en accepterad import som tyst har tappat något.

Testa policyn, inte bara handskakningen

Bestäm vad anslutningen måste bära: ett segment eller varje enhet, vilken DNS-resolver, om IPv6 går in i tunneln eller stannar lokalt, och vad som händer när tunneln fallerar. Det är egna funktioner från upprättandet, och det är här en router skiljer sig mest från en skrivbordsklient. Håll lokal administration nåbar medan du testar, annars kostar det första routingfelet dig fysisk åtkomst.

En slutförd handskakning är början på verifieringen. Skicka verklig trafik till en verklig destination och kontrollera returvägen.