Naiwan ang telepono sa labas ng VPN? Tunnel ng router o kliyente bawat aparato

Nakakonekta ang laptop sa VPN, nasa parehong Wi-Fi ang telepono, at nagba-browse pa rin ang telepono mula sa address ng ISP. Hindi ito bug ng kliyente: nabubuhay ang tunnel sa makina na nagtatapos nito, at wala nang iba pang nagmamana nito dahil lang sa lapit. Lumalawak lamang ang saklaw kapag ang router mismo ang nagpapatakbo ng kliyente, o kapag sadyang ginawang gateway para sa LAN ang isang makina. Kung aling modelo ang gusto mo ay pinagpapasyahan ng tatlong bagay: ang protocol na talagang sinasalita ng provider mo, kung gaano kaiba ang pagtrato sa mga aparato, at kung anong kabiguan ang kaya mong tiisin sa ganap na ikasiyam ng gabi.

Ano ba talaga ang sakop ng tunnel ng router

Kapag nagtatapos ang tunnel sa router, pinagsasaluhan ng bawat aparatong dumadaan dito ang labasan. Iyon ang hikayat para sa telebisyon, console o kagamitang hindi kailanman magpapatakbo ng kliyente: walang iinstall, walang i-update, at isang lugar lang para palitan ang provider.

May kondisyon ang saklaw sa mga paraang nakakagulat. Ang guest network o ikalawang SSID na may sariling patakaran ay sumusunod sa landas na itinatakda ng patakarang iyon, hindi sa tunnel. Maaaring lampasan ng landas na IPv6 ang tunnel na nagdadala lamang ng IPv4. Ang aparatong may sariling VPN app o sariling naka-encrypt na resolver ay tuluyang binabalewala ang router. At ang sariling trapiko ng router, kasama ang mga update at DNS, ay sumusunod sa patakaran ng labasan nito, na ibang landas kaysa sa ipinapasa na trapiko ng LAN.

Pareho ang pagsusuri sa dalawang modelo at tumatagal ng isang minuto: tanungin ang dalawang aparato kung anong address ang nakikita ng mundo, pagkatapos tingnan ang listahan ng koneksyon ng router para sa tunnel. Kung iniuulat ng telepono ang address ng ISP habang nagpapakita ang router ng naitatag na tunnel, hindi dumadaan ang telepono dito, at walang muling pagkonekta ang makakabago niyon.

Saan nananalo ang kliyente bawat aparato

Nananalo ang mga kliyente bawat aparato kapag nagsimulang magkaiba ang mga pangangailangan. Maaaring kailanganin ng work laptop ang corporate tunnel na hindi dapat salihan ng telepono; maaaring mag-alok ang kliyente ng provider ng split tunnel bawat application, na hindi maipahayag ng router; maaaring kailangang manatili sa labas ang console para mapanatili ang NAT type nito. Nabibigo rin ang bawat aparato nang mag-isa, kaya hindi pinapatahimik ng isang nag-expire na subscription ang buong bahay.

Ang mga kredensyal ang mas matalas na argumento. Ang router na kumokonekta sa ngalan ng lahat ay may isang account, at namamana ng access nito ang bawat tao sa network na iyon. Kung ang layunin ay authentication bawat tao bago ang access sa internet, hindi iyon kayang gawin ng tunnel ng router nang mag-isa. Ang karaniwang disenyo ay isang captive portal na nagva-validate ng account at pagkatapos ay naglalabas sa kliyente sa isang naitatag nang tunnel, na mas maraming gumagalaw na bahagi kaysa sa gusto ng karamihan ng tahanan.

Mas maraming kaso ang napagpapasyahan ng suporta sa protocol kaysa sa kagustuhan

Ipinapakita lamang ng mga consumer router ang mga protocol na ibinigay ng manufacturer. Ang router na may PPTP, L2TP o plain IPsec ay hindi makakonekta sa provider na naglalathala lamang ng OpenVPN o WireGuard profile, at walang configuration ang makakabago niyon. Ang tapat na pagpipilian ay provider na nagsasalita ng sinusuportahang protocol, router na may OpenWrt o ibang firmware na may kliyenteng kailangan mo, o kliyente sa bawat aparato.

Kasingkaraniwan ang kabaligtarang kaso: ang router na may kakayahang OpenVPN ay hindi makakagamit ng provider na ang serbisyo ay nakadepende sa sariling kliyente at sariling mga trick sa pag-ruta. Basahin ang pahina ng provider tungkol sa mga sinusuportahang protocol bago bumili ng hardware, at suriin ang bersyon ng firmware, dahil ang «sinusuportahan ang WireGuard» sa pahina ng produkto ay kadalasang nangangahulugang isang partikular na henerasyon ng firmware.

Ang travel router na may WireGuard client ay ang murang bersyon ng modelo ng router at isang makatwirang sagot para sa ilang aparatong hindi makapagpatakbo ng kliyente. Ito pa rin ay tunnel ng router, kaya lahat ng nasa itaas tungkol sa guest network, IPv6 at pinagsasaluhang kabiguan ay applicable nang walang pagbabago.

Ang ikatlong opsyon: isang makina bilang gateway

Posibleng magbahagi ng kliyente mula sa laptop, at iyon ang karaniwang ibig sabihin ng mga tao kapag sinabi nilang ginawa nilang router ang laptop.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Gumagana ito hanggang matulog ang makina, muling kumonekta ang kliyente sa ibang profile, o itapon ng sariling firewall ng makina ang ipinapasang packet. Pagkatapos, sabay-sabay na nawawalan ng koneksyon ang lahat sa likod nito, at ang kabiguan ay mukhang patay na network kaysa problema sa VPN.

Para sa laboratoryo o pansamantalang setup, ayos lang ito. Bilang permanenteng kaayusan, ginagawa nitong isang laptop ang tanging punto ng kabiguan ng isang sambahayan, at kadalasan ay nagtatapos ito sa isang taong nagtataka kung bakit huminto ang telebisyon nang isara ang isang takip.

Mga papasok na port, DNS at ang pinagsasaluhang kabiguan

Gumagalaw kasama ng tunnel ang mga papasok na serbisyo. Karaniwang sinisira ng VPN sa router ang port forwarding para sa LAN server, at ang dynamic na DNS name ay dapat tumuro sa labasan ng VPN kaysa sa address ng ISP kung ang serbisyo ay dapat maabot sa pamamagitan ng tunnel. May mga provider na walang inaalok na routable na papasok na address, na tahimik na nagtatapos sa anumang planong nakasalalay dito.

Sumusunod ang DNS sa router kapag pag-aari ng router ang tunnel, na maginhawa hanggang kailanganin ng isang aparato ang ibang resolver. Kayang ipahayag iyon ng kliyente bawat aparato; hindi kaya ng patakaran ng router nang hindi hinahati ang network sa dalawa. Pinagsasaluhan din ang kabiguan, dahil ang isang pag-crash, isang nag-expire na subscription o isang masamang itinulak na ruta ay naghihiwalay sa bawat aparato sa parehong sandali.

Piliin ang modelo ng router kapag hindi makapagpatakbo ng kliyente ang mga aparato at katanggap-tanggap ang isang labasan. Piliin ang kliyente bawat aparato kapag nagkakaiba ang mga patakaran, kapag kailangan ng provider ang protocol na wala ang router, o kapag hindi dapat ibahagi ang account. Kung makina ang gateway, isulat kung aling interface ang nagbabahagi ng aling network at subukan ang kaso ng «tunnel down», dahil iyon ang kalagayan kung saan lumalabas na mali ang karamihan sa mga disenyong ito.