โหมดไคลเอนต์ VPN บนเราเตอร์กับโหมดเซิร์ฟเวอร์: แต่ละแบบเปิดความสามารถอะไร
บทบาทหนึ่งของเราเตอร์ส่งทราฟฟิกของคุณออกไปยังทางออกระยะไกล อีกบทบาทให้คุณกลับเข้ามาได้ อ่านเมนู ข้อมูลรับรอง และเส้นทางกลับก่อนเปิดใช้งานทั้งสองแบบ
คุณเข้าสู่ระบบเราเตอร์ เปิดหน้า VPN แล้วพบแท็บสองแท็บที่ดูเหมือนคุณสมบัติเดียวกันถูกอธิบายซ้ำสองครั้ง แท็บหนึ่งต้องการไฟล์โปรไฟล์จากที่อื่น อีกแท็บต้องการให้คุณสร้างใบรับรองและเลือกพอร์ต สองแท็บนี้ไม่ใช่สองมุมมองของค่าเดียวกัน บทบาทหนึ่งทำให้เราเตอร์โทรออก อีกบทบาททำให้เราเตอร์ตอบรับ และอุปกรณ์เครื่องเดียวทำได้ทั้งสองอย่าง โดยที่ฝ่ายหนึ่งไม่ได้ช่วยอีกฝ่าย ต่อไปนี้คือวิธีอ่านเมนูและตัดสินว่าคุณอยู่ฝั่งไหนก่อนจะเปิดใช้งานอะไร
เปิดเมนู VPN แล้วอ่านชื่อบทบาท
เริ่มจากหัวข้อของแต่ละส่วน ไม่ใช่จากสวิตช์ แท็บที่ระบุว่าไคลเอนต์หรือ “เชื่อมต่อกับบริการ VPN” คาดหวังโปรไฟล์ที่นำเข้า ไฟล์กำหนดค่า หรือชุดข้อมูลรับรองที่ผู้อื่นออกให้ แท็บที่ระบุว่าเซิร์ฟเวอร์คาดหวังให้คุณสร้างตัวตน เลือกโปรโตคอลและพอร์ต และโดยปกติส่งออกโปรไฟล์สำหรับอุปกรณ์ทุกเครื่องที่จะเชื่อมต่อ
ให้ถือข้อความการตลาดบนกล่องเป็นสิ่งที่ยังไม่ยืนยันจนกว่าเมนูจะตรงกับมัน “รองรับ VPN” อาจหมายถึงไคลเอนต์ เซิร์ฟเวอร์ ตัวช่วยส่งผ่านโปรโตคอลที่ส่งแพ็กเก็ตต่อไปยังอุปกรณ์หลังเราเตอร์เท่านั้น หรือแอปเข้าถึงระยะไกลแบบเจ้าของที่ไม่มีโปรไฟล์มาตรฐานเลย มีเพียงเอกสารเฟิร์มแวร์เท่านั้นที่แยกกรณีเหล่านี้ได้ หมายเลขรุ่นบนสติกเกอร์ไม่ได้แยก
โหมดไคลเอนต์: LAN ของคุณออกผ่านทางออกของคนอื่น
ในโหมดไคลเอนต์ เราเตอร์ทำตัวเหมือนแล็ปท็อปที่รันแอป VPN ต้องมีโปรโตคอลที่เข้ากันได้ มีโปรไฟล์หรือข้อมูลรับรองจากผู้ให้บริการระยะไกล และมีการตัดสินใจเรื่องเส้นทางว่าอุปกรณ์ปลายทางใดใช้ทันเนล เฟิร์มแวร์จำนวนมากมีรายการนโยบายที่คุณระบุที่อยู่ต้นทางหรืออินเทอร์เฟซที่ต้องส่งผ่านทันเนล และปล่อยส่วนที่เหลือไว้บนการเชื่อมต่อปกติ
ส่วนที่ล้มเหลวอย่างเงียบ ๆ คือฝั่งระยะไกล ปลายทางที่คุณเชื่อมต่อต้องส่งต่อทราฟฟิกอินเทอร์เน็ตให้คุณและมีเส้นทางกลับ ซึ่งเป็นนโยบายที่ผู้ให้บริการ ไม่ใช่การตั้งค่าบนเราเตอร์ของคุณ เมนูที่ให้เฉพาะโหมดเซิร์ฟเวอร์สร้างบริการขาออกนี้ไม่ได้ไม่ว่าจะกำหนดค่าอย่างไร และผู้ให้บริการที่รองรับเฉพาะลิงก์ระหว่างไซต์อาจเชื่อมทันเนลได้สำเร็จแต่ทิ้งทุกอย่างที่คุณส่งผ่านมัน
จากนั้นตรวจสอบว่าทันเนลจัดการ DNS อย่างไร หากโปรไฟล์ดันตัวแก้ไขชื่อ เราเตอร์ควรส่งตัวแก้ไขชื่อนั้นให้ไคลเอนต์ปลายทาง หากไม่ส่ง ไคลเอนต์ยังใช้ตัวแก้ไขชื่อของผู้ให้บริการและแก้ชื่อนอกทันเนลแม้แพ็กเก็ตจะวิ่งอยู่ข้างใน การตรวจสอบเร็ว ๆ จากแล็ปท็อปที่เชื่อมต่ออยู่: ที่อยู่ที่คุณเห็นบนหน้า IP echo ควรเป็นทางออก และที่อยู่ตัวแก้ไขชื่อที่ใช้ควรเป็นตัวที่ทันเนลให้มา
โหมดเซิร์ฟเวอร์: คนอื่นเข้ามาใน LAN ของคุณ
โหมดเซิร์ฟเวอร์กลับทิศทาง เราเตอร์รอรับ อุปกรณ์ที่เดินทางมาเชื่อมต่อ แล้วเราเตอร์ตัดสินว่าการเชื่อมต่อนั้นเข้าถึงทรัพยากรในบ้านใดได้บ้าง นี่คือบทบาทที่คุณต้องการสำหรับ NAS เครื่องในแล็บ หรือเครื่องพิมพ์ และมีเงื่อนไขเบื้องต้นที่บทบาทไคลเอนต์ไม่มี คือต้องมีบางสิ่งจากภายนอกเข้าถึงผู้รับฟังได้
เงื่อนไขเบื้องต้นนี้เองที่ทำให้การติดตั้งในบ้านส่วนใหญ่ติดขัด หากเราเตอร์อยู่หลังเกตเวย์ของผู้ให้บริการเอง ต้องส่งต่อพอร์ต VPN จากเกตเวย์นั้น หรือต้องวางเราเตอร์ในโหมดบริดจ์หรือ DMZ หลัง NAT ระดับผู้ให้บริการไม่มีพอร์ตขาเข้าให้ส่งต่อเลย การออกแบบจึงต้องเปลี่ยน เป็นทันเนลขาออกจากเราเตอร์ไปยังรีเลย์ ปลายทางที่โฮสต์ หรือผลิตภัณฑ์เมช เซิร์ฟเวอร์ที่เข้าถึงไม่ได้ไม่ใช่กำหนดค่าผิด แต่เป็นสิ่งที่เข้าถึงไม่ได้จริง
ตัวตนก็ต่างกันตามบทบาท โปรไฟล์ไคลเอนต์ในบ้านที่ส่งทุกอย่างไปยังทางออกแบบจ่ายเงินเป็นความลับร่วมกันหนึ่งชุด ขณะที่เซิร์ฟเวอร์ที่รับสามโทรศัพท์และแล็ปท็อปหนึ่งเครื่องต้องมีสี่ตัวตนที่คุณเพิกถอนแยกได้ ใบรับรองและกุญแจเป็นรายอุปกรณ์ และหน้าส่งออกของเราเตอร์ควรให้ไฟล์หนึ่งไฟล์ต่ออุปกรณ์ ไม่ใช่ไฟล์เดียวสำหรับทั้งบ้าน
ตรวจสอบการใช้งานจริงก่อนตัดสินใจ
เอกสาร ของ Netgate เรื่องการเลือกบทบาท VPN แยกบทบาทในลักษณะนี้ และควรอ่านหน้าที่เทียบเท่าสำหรับเฟิร์มแวร์ของคุณแทนการเดาจากชื่อแท็บ มองหาข้อเท็จจริงสามข้อ: ไคลเอนต์พูดโปรโตคอลใดได้บ้าง เซิร์ฟเวอร์รองรับโปรโตคอลที่อุปกรณ์ของคุณใช้หรือไม่ และนโยบายเส้นทางครอบคลุมที่อยู่ต้นทาง อินเทอร์เฟซทั้งหมด หรือไม่ครอบคลุมอะไรเลย
จากนั้นดูขอบเขตการสนับสนุน เราเตอร์สำหรับผู้บริโภคที่มีแท็บไคลเอนต์แต่ไม่มีรายการนโยบายจะส่งทุกอุปกรณ์ผ่านทันเนล ซึ่งดีสำหรับกล่องสตรีมมิ่งและผิดสำหรับแล็ปท็อปทำงานที่ต้องใช้ทันเนลของออฟฟิศ เราเตอร์ที่มีแท็บเซิร์ฟเวอร์แต่มีโปรไฟล์ร่วมกันเพียงชุดเดียวเป็นเครื่องมือแล็บที่สมเหตุสมผลและเป็นตัวเลือกที่แย่สำหรับครอบครัว เพราะการเพิกถอนอุปกรณ์หนึ่งเครื่องหมายถึงการเปลี่ยนการกำหนดค่าของทุกคน
เลือกบทบาทตามจุดที่ทราฟฟิกเริ่มต้น
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
เดินตามแถวที่เลือกตั้งแต่ต้นจนจบก่อนจะเปลี่ยนสิ่งอื่น เปิดบทบาทนั้น เชื่อมไคลเอนต์หนึ่งเครื่อง ยืนยันที่อยู่ที่มันปรากฏ ยืนยันว่าใช้ตัวแก้ไขชื่อตัวใด และยืนยันเส้นทางกลับในทิศตรงข้าม หากเราเตอร์มีหน้าตั้งค่าไฟร์วอลล์ด้วย ให้ตรวจว่าอินเทอร์เฟซใหม่ไม่ถูกบล็อกด้วยกฎเริ่มต้นที่เขียนไว้ตอนที่ยังไม่มีทันเนล
เมื่อมีทั้งสองบทบาทและความต้องการคือทั้งสองจริง ๆ ให้เดินทั้งสองเป็นฟีเจอร์แยกกันพร้อมเอกสารแยกกัน เราเตอร์เครื่องเดียวโทรออกเพื่อทีวีและรับการเชื่อมต่อโทรศัพท์เข้า NAS ได้พร้อมกัน แต่นโยบายทั้งสองต้องไม่ใช้ซับเน็ต การตั้งค่า DNS หรือโซนไฟร์วอลล์ร่วมกัน มิฉะนั้นการเปลี่ยนแปลงแรกที่คุณทำเพื่ออย่างหนึ่งจะทำให้อีกอย่างพัง