โหมดบริดจ์ไม่ใช่ VPN pass-through: แต่ละอย่างเปลี่ยนอะไร
โหมดบริดจ์เปลี่ยนบทบาทการส่งต่อของเราเตอร์ ส่วน pass-through เพียงปล่อยให้ VPN ของไคลเอนต์ผ่านออกไป ทั้งสองไม่สร้างอุโมงก์ด้วยตัวเอง จึงใช้แทนกันไม่ได้
โหมดบริดจ์และ VPN pass-through ถูกพูดถึงในกระทู้แก้ปัญหาเดียวกันเพราะทั้งสองถูกเสนอเป็นทางแก้สำหรับ VPN ที่เชื่อมต่อไม่ได้ ทั้งสองอธิบายหน้าที่ต่างกันของเราเตอร์ และไม่มีอันใดสร้างอุโมงก์ VPN ได้ด้วยตัวเอง การทำบริดจ์เปลี่ยนวิธีที่อุปกรณ์เข้าร่วมกับส่วนของเครือข่ายหรือเปลี่ยนว่าใครทำการกำหนดเส้นทาง ส่วน pass-through ตัดสินว่าทราฟฟิก VPN ของไคลเอนต์จะข้ามเกตเวย์ได้หรือไม่ การเลือกผิดเปลี่ยนปัญหาเล็กน้อยให้กลายเป็นทั้งบ่ายของการกำหนดที่อยู่ใหม่
สองป้ายกำกับ สองหน้าที่ต่างกัน
การทดสอบง่ายมาก: คุณกำลังพยายามเปลี่ยนรูปร่างของเครือข่าย หรือปล่อยให้ทราฟฟิกที่มีอยู่แล้วผ่านออกไป? สองสิ่งนี้เป็นคำขอที่ต่างกันและมีผลลัพธ์ที่ต่างกัน
การเปรียบเทียบในตารางเดียว:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
มีเพียงสองรายการสุดท้ายที่สร้างอุโมงก์บนเราเตอร์ การทำบริดจ์และ pass-through ต่างก็ทิ้งปลายทางไว้ที่อื่น จึงไม่มีอันใดแก้ปัญหาที่เกิดจากไคลเอนต์ที่หายไปหรือเซิร์ฟเวอร์ที่เข้าถึงไม่ได้ได้ ความแตกต่างนี้หลงหายได้ง่ายเพราะการตั้งค่าวางอยู่ใกล้กันในอินเทอร์เฟซเดียวกัน จดไว้ว่าปลายทางใดเป็นเจ้าของอุโมงก์ก่อนเปิดหน้านั้น
ช่องทำเครื่องหมาย pass-through ก็ไม่ใช่คำอธิบายที่สมบูรณ์ของการรองรับโปรโตคอล การข้าม NAT ของ IPsec สมัยใหม่ใช้การห่อหุ้ม UDP ตามมาตรฐาน ขณะที่ฟีเจอร์ช่วยเหลือรุ่นเก่ามีพฤติกรรมเฉพาะของการนำไปใช้
ป้ายการตลาดที่บอกว่ารองรับ VPN ไม่ได้บอกว่าหมายถึงบทบาทใดในสี่บทบาทนี้
โหมดบริดจ์เปลี่ยนอะไรบนอุปกรณ์ของคุณ
บนโมเด็มหรือเราเตอร์ ตัวเลือกบริดจ์มักย้ายความรับผิดชอบด้านการกำหนดเส้นทางและ NAT ไปยังเกตเวย์อื่นที่อยู่ถัดลงไป บนอุปกรณ์ซอฟต์แวร์อาจหมายถึงการรวมอินเทอร์เฟซภายในที่เลือกไว้เข้าเป็นโดเมนออกอากาศเดียว ขอบเขตที่แน่นอนขึ้นอยู่กับผลิตภัณฑ์ ดังนั้นอ่านเอกสารของรุ่นนั้นไม่ใช่ของคำนั้น ทั้งสองการตีความเปลี่ยนการกำหนดที่อยู่ ขอบเขตไฟร์วอลล์ และวิธีที่คุณเข้าถึงการจัดการ
นั่นคือเหตุผลที่การทำบริดจ์เป็นปฏิกิริยาแรกที่ไม่ดีต่อความล้มเหลวของ VPN คุณอาจสูญเสียเส้นทางการจัดการในขณะที่ปัญหาต้นทางยังไม่ถูกแก้
เก็บสำรองการกำหนดค่าไว้ก่อนเปลี่ยนบทบาทเครือข่าย เพราะการกำหนดที่อยู่อาจย้ายตามไปด้วย
เลือกบทบาทก่อนตั้งค่า
การส่งทราฟฟิกในบ้านออกผ่านทางออกภายนอก คุณต้องมี ไคลเอนต์ VPN บนเราเตอร์ที่เข้ากันได้ ไม่ใช่บริดจ์ การเชื่อมกลับบ้านจากที่อื่นคุณต้องมีบทบาทเซิร์ฟเวอร์พร้อมเส้นทางขึ้นบนที่ไปถึงได้ ข้อกำหนดสองข้อนี้แทบไม่มีอะไรเหมือนกันนอกจากคำว่า VPN ตัดสินใจว่าคุณกำลังสร้างอันใดก่อนจะดูเมนู
อุปกรณ์หนึ่งอาจรองรับทั้งสองบทบาทและยังไม่รองรับบทบาทที่คุณต้องการด้วยความเร็วที่คุณคาดหวัง
บทบาทคือการตัดสินใจเชิงออกแบบ การตั้งค่าเป็นผลสืบเนื่องของมัน
ถ้าไม่มีเพียงโปรโตคอลเดียว
เมื่อโปรโตคอลหนึ่งล้มเหลวหลังเราเตอร์ที่ทำงานปกติ ให้ตรวจสอบการขนส่งและเส้นทาง NAT ของโปรโตคอลนั้นก่อน การเปลี่ยนโหมดเกตเวย์ทั้งหมดเพื่อซ่อมไคลเอนต์ตัวเดียวเท่ากับการเดินสายไฟในบ้านใหม่เพราะหลอดไฟเสีย ตรวจสอบว่าทราฟฟิกถูกห่อหุ้มด้วย UDP หรือไม่ ฟีเจอร์ช่วยเหลือของเราเตอร์ใช้กับโปรโตคอลนั้นหรือไม่ และความล้มเหลวสมมาตรหรือไม่ จากนั้นจึงตัดสินว่าการเปลี่ยนบทบาทสมเหตุสมผลจริงหรือไม่
RFC 3948 อธิบายการห่อหุ้ม UDP ที่ทำให้ IPsec อยู่รอดผ่าน NAT และเป็นมาตรฐานที่ควรตรวจสอบก่อนเชื่อช่องทำเครื่องหมาย pass-through
บันทึกว่าคุณเปลี่ยนอะไรและเพราะอะไร เพราะคนถัดไปจะพบอุปกรณ์ในโหมดบริดจ์และคิดว่าเป็นการตั้งใจ ผลลัพธ์ที่ถูกต้องคือเครือข่ายที่รูปร่างถูกเลือกโดยคุณ ไม่ใช่ที่สืบทอดมาจากเซสชันแก้ปัญหา