Telefonen utanför VPN? Routentunnel mot klient per enhet

Laptopen är ansluten till VPN, telefonen ligger på samma wifi och surfar ändå från ISP-adressen. Det är ingen klientbugg: en tunnel lever på maskinen som avslutar den, och inget annat ärver den genom närhet. Täckningen sprids bara när routern själv kör klienten, eller när en maskin medvetet görs till gateway för LAN:et. Vilken modell du vill ha avgörs av tre saker: protokollet din leverantör faktiskt talar, hur olika enheterna behöver behandlas och vilket fel du kan leva med klockan nio på kvällen.

Vad en routentunnel faktiskt täcker

När tunneln avslutas på routern delar varje enhet som dirigeras genom den samma utgång. Det är lockelsen med en tv, en konsol eller en apparat som aldrig kommer att köra en klient: inget att installera, inget att hålla uppdaterat och en enda plats att byta leverantör på.

Täckningen är villkorad på sätt som överraskar folk. Ett gästnätverk eller ett andra SSID med egen policy tar den väg som policyn anger, inte tunneln. En IPv6-väg kan kringgå en tunnel som bara bär IPv4. En enhet som kör en egen VPN-app eller en egen krypterad resolver ignorerar routern helt. Och routerns egen trafik, uppdateringar och DNS inräknade, följer dess utgångspolicy, en annan väg än LAN:ets vidarebefordrade trafik.

Kontrollen är densamma i båda modellerna och tar en minut: fråga två enheter vilken adress världen ser och titta sedan i routerns anslutningslista efter tunneln. Om telefonen rapporterar ISP-adressen medan routern visar en upprättad tunnel dirigeras telefonen inte genom den, och hur mycket du än återansluter ändras inte det.

Där en klient per enhet vinner

Klienter per enhet vinner så snart kraven går isär. En arbetslaptop kan behöva en företagstunnel som telefonen inte får ansluta till; en leverantörsklient kan erbjuda delad tunnling per program, vilket en router inte kan uttrycka; en konsol kan behöva stanna utanför för att behålla sin NAT-typ. Varje enhet fallerar också för sig, så en utgången prenumeration tystar inte hela huset.

Uppgifterna är det skarpare argumentet. En router som ansluter för allas räkning håller ett konto, och varje person i nätet ärver dess åtkomst. Om avsikten är autentisering per person före internetåtkomst kan en routentunnel ensam inte göra det. Den vanliga designen är en captive portal som validerar kontot och sedan släpper klienten in i en redan upprättad tunnel, vilket är fler rörliga delar än de flesta hem vill ha.

Protokollstöd avgör fler fall än preferens

Konsumentroutrar exponerar bara de protokoll som tillverkaren levererade. En router med PPTP, L2TP eller vanlig IPsec kan inte ansluta till en leverantör som bara publicerar OpenVPN eller WireGuard-profiler, och ingen konfiguration ändrar det. De ärliga alternativen är en leverantör som talar ett protokoll som stöds, en router med OpenWrt eller annan firmware med den klient du behöver, eller en klient på varje enhet.

Det omvända fallet är lika vanligt: en OpenVPN-kapabel router kan inte använda en leverantör vars tjänst beror på en egen klient och egna routingtrick. Läs leverantörens sida om protokollstöd innan du köper hårdvara och kontrollera firmwareversionen, för 'stöder WireGuard' på en produktsida betyder ofta en specifik firmwaregeneration.

En rese-router med WireGuard-klient är den billiga versionen av routermodelen och ett rimligt svar för en handfull enheter som inte kan köra en klient. Det är fortfarande en routentunnel, så allt ovan om gästnätverk, IPv6 och delat fel gäller oförändrat.

Det tredje alternativet: en maskin som gateway

Att dela en klient från en laptop går, och det är vad folk oftast menar med att göra laptopen till en router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Det fungerar tills maskinen sover, klienten återansluter till en annan profil eller maskinens egen brandvägg släpper vidarebefordrade paket. Då tappar allt bakom den anslutningen samtidigt, och felet ser ut som ett dött nätverk snarare än ett VPN-problem.

För ett labb eller en tillfällig uppsättning är det okej. Som permanent arrangemang gör det en laptop till husets enda felpunkt, och det slutar oftast med att någon undrar varför tv:n slutade fungera när ett lock stängdes.

Inkommande portar, DNS och felet ni delar

Inkommande tjänster flyttar med tunneln. En router-VPN bryter oftast portvidarebefordran för en LAN-server, och ett dynamiskt DNS-namn måste peka på VPN-utgången i stället för på ISP-adressen om tjänsten ska nås genom tunneln. Vissa leverantörer erbjuder ingen routbar inkommande adress alls, vilket tyst avslutar varje plan som byggde på en sådan.

DNS följer routern när routern äger tunneln, vilket är bekvämt tills en enhet behöver en annan resolver. En klient per enhet kan uttrycka det; en routerpolicy kan inte utan att dela nätet i två. Felet delas också, för en krasch, en utgången prenumeration eller en dålig pushad route kopplar bort varje enhet i samma ögonblick.

Välj routermodelen när enheterna inte kan köra klienter och en enda utgång är acceptabel. Välj klienter per enhet när policyerna skiljer sig, när leverantören behöver ett protokoll som routern saknar, eller när kontot inte får delas. Om en maskin är gateway, skriv ner vilket gränssnitt som delar vilket nät och testa läget 'tunnel nere', för det är tillståndet där de flesta av de här designerna visar sig vara fel.