โทรศัพท์หลุดออกจาก VPN? อุโมงค์เราเตอร์หรือไคลเอนต์ต่ออุปกรณ์

แล็ปท็อปเชื่อมต่อ VPN แล้ว โทรศัพท์อยู่ใน Wi-Fi เดียวกัน และโทรศัพท์ยังคงท่องเว็บจากที่อยู่ ISP นี่ไม่ใช่บั๊กของไคลเอนต์: อุโมงค์อาศัยอยู่บนเครื่องที่สิ้นสุดมัน และไม่มีอะไรอื่นสืบทอดมันเพราะอยู่ใกล้กัน ความครอบคลุมจะแผ่ขยายก็ต่อเมื่อเราเตอร์รันไคลเอนต์เอง หรือเมื่อเครื่องหนึ่งถูกเปลี่ยนเป็นเกตเวย์สำหรับ LAN อย่างจงใจ แบบจำลองที่คุณต้องการตัดสินด้วยสามสิ่ง: โปรโตคอลที่ผู้ให้บริการของคุณพูดจริง ความแตกต่างในการจัดการแต่ละอุปกรณ์ และความล้มเหลวที่คุณทนได้ตอนสามทุ่ม

อุโมงค์เราเตอร์ครอบคลุมอะไรจริง ๆ

เมื่ออุโมงค์สิ้นสุดที่เราเตอร์ ทุกอุปกรณ์ที่ส่งต่อผ่านมันจะใช้ทางออกเดียวกัน นี่คือเสน่ห์สำหรับโทรทัศน์ คอนโซล หรือเครื่องใช้ที่จะไม่รันไคลเอนต์เลย: ไม่มีอะไรต้องติดตั้ง ไม่มีอะไรต้องอัปเดต และมีที่เดียวให้เปลี่ยนผู้ให้บริการ

ความครอบคลุมมีเงื่อนไขในแบบที่ทำให้คนแปลกใจ เครือข่ายแขกหรือ SSID ที่สองที่มีนโยบายของตัวเองจะไปตามเส้นทางที่นโยบายนั้นกำหนด ไม่ใช่อุโมงค์ เส้นทาง IPv6 สามารถข้ามอุโมงค์ที่รับส่งเฉพาะ IPv4 อุปกรณ์ที่มีแอป VPN ของตัวเองหรือตัวแปลงชื่อที่เข้ารหัสของตัวเองจะเพิกเฉยต่อเราเตอร์ทั้งหมด และทราฟฟิกของเราเตอร์เอง รวมถึงการอัปเดตและ DNS จะเป็นไปตามนโยบายขาออกของมัน ซึ่งเป็นเส้นทางที่ต่างจากทราฟฟิก LAN ที่ถูกส่งต่อ

การตรวจสอบเหมือนกันในทั้งสองแบบและใช้เวลาหนึ่งนาที: ถามอุปกรณ์สองเครื่องว่าโลกเห็นที่อยู่ใด แล้วดูรายการเชื่อมต่อของเราเตอร์ว่ามีอุโมงค์หรือไม่ ถ้าโทรศัพท์รายงานที่อยู่ ISP ขณะที่เราเตอร์แสดงอุโมงค์ที่สร้างแล้ว แสดงว่าโทรศัพท์ไม่ได้ถูกส่งผ่านมัน และการเชื่อมต่อใหม่ไม่ว่าจะกี่ครั้งก็ไม่เปลี่ยน

ไคลเอนต์ต่ออุปกรณ์ชนะตรงไหน

ไคลเอนต์ต่ออุปกรณ์ชนะทันทีที่ความต้องการต่างกัน แล็ปท็อปสำหรับงานอาจต้องใช้อุโมงค์องค์กรที่โทรศัพท์ไม่ควรเข้าร่วม ไคลเอนต์ของผู้ให้บริการอาจมีอุโมงค์แยกตามแอป ซึ่งเราเตอร์แสดงออกไม่ได้ คอนโซลอาจต้องอยู่ข้างนอกเพื่อรักษาชนิด NAT ของมัน แต่ละอุปกรณ์ยังล้มเหลวได้เอง ดังนั้นการสมัครสมาชิกที่หมดอายุหนึ่งรายการจะไม่ทำให้ทั้งบ้านเงียบ

ข้อมูลรับรองเป็นข้อโต้แย้งที่คมกว่า เราเตอร์ที่เชื่อมต่อแทนทุกคนถือบัญชีเดียว และทุกคนในเครือข่ายนั้นสืบทอดการเข้าถึงของมัน ถ้าเจตนาคือการยืนยันตัวตนรายบุคคลก่อนเข้าถึงอินเทอร์เน็ต อุโมงค์เราเตอร์ลำพังทำไม่ได้ การออกแบบปกติคือพอร์ทัลแบบกักขังที่ตรวจสอบบัญชีแล้วปล่อยไคลเอนต์เข้าสู่อุโมงค์ที่สร้างไว้แล้ว ซึ่งมีชิ้นส่วนที่เคลื่อนไหวมากกว่าที่บ้านส่วนใหญ่ต้องการ

การสนับสนุนโปรโตคอลตัดสินได้มากกว่าความชอบ

เราเตอร์สำหรับผู้บริโภคแสดงเฉพาะโปรโตคอลที่ผู้ผลิตให้มา เราเตอร์ที่มี PPTP, L2TP หรือ IPsec ธรรมดาไม่สามารถเชื่อมต่อกับผู้ให้บริการที่เผยแพร่เฉพาะโปรไฟล์ OpenVPN หรือ WireGuard และไม่มีการกำหนดค่าใดเปลี่ยนสิ่งนั้น ทางเลือกที่ซื่อสัตย์คือผู้ให้บริการที่พูดโปรโตคอลที่รองรับ เราเตอร์ที่รัน OpenWrt หรือเฟิร์มแวร์อื่นที่มีไคลเอนต์ที่คุณต้องการ หรือไคลเอนต์บนทุกอุปกรณ์

กรณีตรงกันข้ามก็พบได้บ่อยเท่ากัน: เราเตอร์ที่รองรับ OpenVPN ไม่สามารถใช้ผู้ให้บริการที่บริการของเขาขึ้นกับไคลเอนต์เฉพาะและลูกเล่นการกำหนดเส้นทางของตัวเอง อ่านหน้าสนับสนุนโปรโตคอลของผู้ให้บริการก่อนซื้อฮาร์ดแวร์ และตรวจสอบเวอร์ชันเฟิร์มแวร์ เพราะ «รองรับ WireGuard» บนหน้าสินค้ามักหมายถึงเฟิร์มแวร์รุ่นใดรุ่นหนึ่งโดยเฉพาะ

เราเตอร์พกพาที่มีไคลเอนต์ WireGuard เป็นรุ่นราคาถูกของแบบจำลองเราเตอร์ และเป็นคำตอบที่สมเหตุสมผลสำหรับอุปกรณ์ไม่กี่เครื่องที่ไม่สามารถรันไคลเอนต์ได้ มันยังเป็นอุโมงค์เราเตอร์ ดังนั้นทุกอย่างข้างต้นเกี่ยวกับเครือข่ายแขก IPv6 และความล้มเหลวที่แชร์ร่วมกันยังใช้ได้โดยไม่เปลี่ยนแปลง

ทางเลือกที่สาม: ใช้เครื่องหนึ่งเป็นเกตเวย์

การแชร์ไคลเอนต์จากแล็ปท็อปเป็นไปได้ และนั่นคือสิ่งที่คนมักหมายถึงเมื่อพูดว่าเปลี่ยนแล็ปท็อปให้เป็นเราเตอร์

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

มันทำงานจนกว่าเครื่องจะหลับ ไคลเอนต์เชื่อมต่อใหม่ในโปรไฟล์อื่น หรือไฟร์วอลล์ของเครื่องเองทิ้งแพ็กเก็ตที่ส่งต่อ แล้วทุกอย่างที่อยู่ข้างหลังจะขาดการเชื่อมต่อพร้อมกัน และความล้มเหลวดูเหมือนเครือข่ายที่ตายแล้วมากกว่าปัญหา VPN

สำหรับห้องแล็บหรือการตั้งค่าชั่วคราวก็ใช้ได้ ในฐานะการจัดวางถาวร มันทำให้แล็ปท็อปเครื่องหนึ่งเป็นจุดล้มเหลวเพียงจุดเดียวของบ้าน และมักจบลงด้วยคำถามว่าโทรทัศน์หยุดทำงานเพราะอะไรตอนปิดฝา

พอร์ตขาเข้า DNS และความล้มเหลวที่แชร์ร่วมกัน

บริการขาเข้าจะเคลื่อนที่ไปกับอุโมงค์ VPN บนเราเตอร์มักทำให้การส่งต่อพอร์ตสำหรับเซิร์ฟเวอร์ LAN แตก และชื่อ DNS แบบไดนามิกต้องชี้ไปที่ทางออกของ VPN ไม่ใช่ที่อยู่ ISP ถ้าบริการนั้นต้องเข้าถึงได้ผ่านอุโมงค์ ผู้ให้บริการบางรายไม่มีที่อยู่ขาเข้าที่กำหนดเส้นทางได้เลย ซึ่งจบแผนใด ๆ ที่พึ่งมันอย่างเงียบ ๆ

DNS ตามเราเตอร์เมื่อเราเตอร์เป็นเจ้าของอุโมงค์ ซึ่งสะดวกจนกว่าอุปกรณ์หนึ่งต้องการตัวแปลงชื่ออื่น ไคลเอนต์ต่ออุปกรณ์แสดงออกได้ แต่นโยบายของเราเตอร์ทำไม่ได้โดยไม่แบ่งเครือข่ายเป็นสอง ความล้มเหลวก็ถูกแชร์เช่นกัน เพราะการล่มครั้งเดียว การสมัครสมาชิกที่หมดอายุ หรือเส้นทางที่ถูกผลักเข้ามาอย่างผิดพลาดจะตัดการเชื่อมต่อทุกอุปกรณ์ในเวลาเดียวกัน

เลือกแบบจำลองเราเตอร์เมื่ออุปกรณ์ไม่สามารถรันไคลเอนต์ได้และทางออกเดียวเป็นที่ยอมรับ เลือกไคลเอนต์ต่ออุปกรณ์เมื่อนโยบายต่างกัน เมื่อผู้ให้บริการต้องการโปรโตคอลที่เราเตอร์ไม่มี หรือเมื่อบัญชีไม่ควรถูกแชร์ ถ้าเครื่องหนึ่งเป็นเกตเวย์ ให้จดว่าอินเทอร์เฟซใดแชร์เครือข่ายใด และทดสอบกรณี «อุโมงค์ล่ม» เพราะนั่นคือสภาวะที่การออกแบบเหล่านี้ส่วนใหญ่กลายเป็นผิด