VPN-klient på routern eller serverläge: vad var och en möjliggör

Du loggar in på routern, öppnar VPN-sidan och hittar två flikar som ser ut som samma funktion beskriven två gånger: den ena vill ha en profilfil från någon annanstans, den andra vill att du genererar certifikat och väljer en port. Det är inte två vyer av en inställning. Den ena rollen får routern att ringa ut, den andra får den att svara, och en enda box kan göra båda utan att den ena hjälper den andra. Så här läser du menyn och avgör vilken sida du står på innan du aktiverar något.

Öppna VPN-menyn och läs rollnamnen

Börja med avsnittsrubrikerna i stället för reglagen. En flik märkt klient eller ”anslut till en VPN-tjänst” förväntar sig en importerad profil, en konfigurationsfil eller en uppsättning inloggningsuppgifter som någon annan har utfärdat. En flik märkt server förväntar sig att du skapar identiteterna, väljer protokoll och port och vanligtvis exporterar en profil för varje enhet som ska ansluta.

Behandla marknadsföringsraden på lådan som obekräftad tills menyn stämmer med den. ”VPN stöds” kan betyda en klient, en server, en protokollgenomgångshjälpare som bara vidarebefordrar paket till en enhet bakom routern, eller en egen fjärråtkomstapp utan någon standardprofil alls. Bara firmware-dokumentationen skiljer dessa fall, och modellnumret på klistermärket gör det inte.

Klientläge: ditt LAN lämnar via någon annans utgång

I klientläge beter sig routern som en bärbar dator som kör en VPN-app. Den behöver ett kompatibelt protokoll, en profil eller inloggningsuppgifter från fjärroperatören och ett routingbeslut om vilka enheter nedströms som använder tunneln. Många firmwares erbjuder en policylista där du namnger källadresserna eller gränssnitten som ska skickas genom tunneln och låter resten ligga kvar på den vanliga anslutningen.

Den del som misslyckas tyst är fjärrsidan. Den slutpunkt du ansluter till måste vidarebefordra internettrafik åt dig och tillhandahålla en returväg, och det är en policy hos leverantören, inte en inställning på din router. En meny som bara erbjuder serverläge kan inte bygga denna utåtriktade tjänst, hur den än konfigureras, och en leverantör som bara stöder länkar mellan platser kan ansluta tunneln framgångsrikt men ändå kasta allt du skickar genom den.

Kontrollera sedan hur tunneln hanterar DNS. Om profilen skjuter in en resolver bör routern lämna den resolvern vidare till klienter nedströms; om inte fortsätter klienterna att använda leverantörens resolver och löser namn utanför tunneln trots att paketen går inuti. En snabb kontroll från en ansluten bärbar dator: adressen du ser på en IP-ekosida bör vara utgången, och den resolveradress som används bör vara den som tunneln tillhandahöll.

Serverläge: någon annan anländer i ditt LAN

Serverläge vänder riktningen. Routern lyssnar, den resande enheten ansluter, och sedan avgör routern vilka hemresurser den anslutningen får nå. Det här är rollen du vill ha för en NAS, en laboratoriemaskin eller en skrivare, och den har en förutsättning som klientrollen inte har: något utifrån måste kunna nå lyssnaren.

Det är på den förutsättningen de flesta hemmaoppsättningar fastnar. Om routern sitter bakom leverantörens egen gateway måste VPN-porten vidarebefordras från den gatewayen, eller så måste routern sättas i brygg- eller DMZ-läge. Bakom carrier-grade NAT finns ingen inkommande port att vidarebefordra alls, så designen måste ändras: en utgående tunnel från routern till ett relä, en driftad slutpunkt eller en mesh-produkt. En server som inte går att nå är inte felkonfigurerad, den är oåtkomlig.

Identiteterna varierar också med rollen. En hushållsklientprofil som skickar allt till en betald utgång är en enda delad hemlighet, medan en server som släpper in tre telefoner och en bärbar dator behöver fyra identiteter som du kan återkalla var för sig. Certifikat och nycklar är per enhet, och routerns exportsida bör ge dig en fil per enhet i stället för en fil för hela hushållet.

Kontrollera den exakta implementeringen innan du binder dig

Netgates dokumentation om att välja en VPN-roll skiljer rollerna på detta sätt, och det är värt att läsa motsvarande sida för din firmware i stället för att gissa utifrån fliknamnen. Leta efter tre konkreta fakta: vilka protokoll klienten kan tala, om servern stöder det protokoll dina enheter använder, och om routingpolicyn täcker källadresser, hela gränssnitt eller ingenting.

Titta sedan på supportgränsen. En konsumentrouter med klientflik men utan policylista skickar varje enhet genom tunneln, vilket är bra för en streamingbox och fel för en arbetsbärbar dator som behöver kontorets tunnel. En router med serverflik men en enda delad profil är ett rimligt laboratorieverktyg och ett dåligt val för en familj, eftersom att återkalla en enhet innebär att ändra allas konfiguration.

Välj rollen utifrån var trafiken börjar

Gå igenom den valda raden från början till slut innan du ändrar något annat. Aktivera rollen, anslut en klient, bekräfta adressen den visas som, bekräfta vilken resolver den använder och bekräfta returvägen i motsatt riktning. Om routern också har en brandväggssida, kontrollera att det nya gränssnittet inte blockeras av en standardregel som skrevs när tunneln inte fanns.

När båda rollerna är tillgängliga och kravet verkligen är båda, kör dem som separata funktioner med separat dokumentation. En router kan ringa ut för tv:n och samtidigt ta emot en telefonanslutning till NAS:en, men de två policyerna får inte dela ett subnät, en DNS-inställning eller en brandväggszon, annars förstör den första ändringen du gör för den ena den andra.