VPN client sa router o server mode: ano ang binibigyang-daan ng bawat isa
Ang isang papel ng router ay nagpapadala ng iyong trapiko sa malayong labasan, ang isa ay nagpapapasok sa iyo pabalik. Basahin ang mga menu, kredensyal at daan pabalik bago i-enable ang alinman.
Naka-log in ka sa router, binuksan mo ang pahina ng VPN at nakakita ka ng dalawang tab na mukhang ang parehong feature ay inilarawan nang dalawang beses: ang isa ay gustong ng profile file mula sa ibang lugar, ang isa ay gustong gumawa ka ng mga sertipiko at pumili ng port. Hindi ito dalawang pagtingin sa isang setting. Ang isang papel ay nagpapatawag sa router palabas, ang isa ay nagpapasagot dito, at kayang gawin ng isang aparato ang pareho nang hindi tumutulong ang isa sa isa. Narito kung paano basahin ang menu at magpasya kung saang panig ka bago mo i-enable ang anuman.
Buksan ang menu ng VPN at basahin ang mga pangalan ng papel
Magsimula sa mga pamagat ng seksyon, hindi sa mga switch. Ang tab na may label na client o “kumonekta sa isang serbisyo ng VPN” ay umaasa ng na-import na profile, configuration file o set ng kredensyal na inilabas ng ibang tao. Ang tab na may label na server ay umaasa na gagawa ka ng mga pagkakakilanlan, pipili ng protocol at port, at karaniwang mag-e-export ng profile para sa bawat aparatong kokonekta.
Ituring na hindi pa beripikado ang linyang pang-marketing sa kahon hanggang sa tumugma rito ang menu. Ang “suportado ang VPN” ay maaaring mangahulugan ng client, server, katulong sa pagpasa ng protocol na nagpapadala lamang ng mga packet sa aparatong nasa likod ng router, o pagmamay-aring app sa malayong pag-access na walang anumang karaniwang profile. Tanging ang dokumentasyon ng firmware ang nagtatangi sa mga kasong iyon, at hindi ang numero ng modelo sa sticker.
Client mode: lumalabas ang iyong LAN sa labasan ng ibang tao
Sa client mode ang router ay kumikilos tulad ng laptop na nagpapatakbo ng app ng VPN. Kailangan nito ng tugmang protocol, profile o kredensyal mula sa malayong operator, at desisyon sa routing kung aling mga aparato sa ibaba ang gumagamit ng tunnel. Maraming firmware ang nag-aalok ng listahan ng patakaran kung saan pinapangalanan mo ang mga source address o interface na dapat ipadala sa tunnel at iniiwan ang iba sa normal na koneksyon.
Ang bahaging tahimik na nabibigo ay ang malayong panig. Ang endpoint na kinokonektahan mo ay dapat magpasa ng trapiko ng internet para sa iyo at magbigay ng daan pabalik, at ito ay patakaran sa provider, hindi setting sa iyong router. Ang menung nag-aalok lamang ng server mode ay hindi makabubuo ng palabas na serbisyong ito gaano man ito i-configure, at ang provider na sumusuporta lamang sa mga link sa pagitan ng mga site ay maaaring matagumpay na makakonekta ng tunnel ngunit itatapon ang lahat ng ipinapadala mo rito.
Susunod, tingnan kung paano hinahawakan ng tunnel ang DNS. Kung itinutulak ng profile ang isang resolver, dapat ibigay ng router ang resolver na iyon sa mga kliyente sa ibaba; kung hindi, patuloy na gumagamit ang mga kliyente ng resolver ng provider at nilulutas ang mga pangalan sa labas ng tunnel kahit pumapasok ang mga packet. Mabilis na pagsusuri mula sa konektadong laptop: ang address na nakikita mo sa pahina ng IP echo ay dapat ang labasan, at ang address ng resolver na ginagamit ay dapat ang ibinigay ng tunnel.
Server mode: may ibang pumapasok sa iyong LAN
Binabaligtad ng server mode ang direksyon. Nakikinig ang router, kumokonekta ang aparatong naglalakbay, at pagkatapos ay magpapasya ang router kung aling mga mapagkukunan sa bahay ang maaabot ng koneksyong iyon. Ito ang papel na gusto mo para sa NAS, makina sa laboratoryo o printer, at may paunang kundisyon ito na wala sa papel ng client: may dapat na makarating mula sa labas patungo sa tagapakinig.
Sa paunang kundisyong iyon nagbabara ang karamihan ng setup sa bahay. Kung ang router ay nasa likod ng sariling gateway ng provider, kailangang ipasa ang port ng VPN mula sa gateway na iyon, o ilagay ang router sa bridge o DMZ mode. Sa likod ng carrier-grade NAT ay wala talagang papasok na port na maipapasa, kaya dapat magbago ang disenyo: isang palabas na tunnel mula sa router patungo sa relay, naka-host na endpoint o mesh na produkto. Ang server na hindi maabot ay hindi mali ang pagkaka-configure, ito ay hindi maabot.
Nagkakaiba rin ang mga pagkakakilanlan ayon sa papel. Ang profile ng client sa bahay na nagpapadala ng lahat sa bayad na labasan ay isang pinagsasaluhang lihim, samantalang ang server na tumatanggap ng tatlong telepono at isang laptop ay nangangailangan ng apat na pagkakakilanlan na maaari mong bawiin nang hiwalay. Ang mga sertipiko at susi ay para sa bawat aparato, at ang pahina ng export ng router ay dapat magbigay sa iyo ng isang file bawat aparato sa halip na isang file para sa buong sambahayan.
Suriin ang eksaktong implementasyon bago magtali
Ang dokumentasyon ng Netgate tungkol sa pagpili ng papel sa VPN ay naghihiwalay sa mga papel sa ganitong paraan, at sulit basahin ang katumbas na pahina para sa iyong firmware sa halip na hulaan mula sa mga pangalan ng tab. Maghanap ng tatlong konkreto: kung aling mga protocol ang kayang salitain ng client, sinusuportahan ba ng server ang protocol na ginagamit ng iyong mga aparato, at sumasaklaw ba ang patakaran sa routing sa mga source address, buong interface o wala.
Pagkatapos tingnan ang hangganan ng suporta. Ang router ng konsyumer na may tab ng client ngunit walang listahan ng patakaran ay magpapadala ng bawat aparato sa tunnel, na maayos para sa streaming box at mali para sa laptop sa trabaho na nangangailangan ng tunnel sa opisina. Ang router na may tab ng server ngunit isang pinagsasaluhang profile ay makatwirang kagamitan sa laboratoryo at mahinang pagpipilian para sa pamilya, dahil ang pagbawi sa isang aparato ay nangangahulugan ng pagbabago sa configuration ng lahat.
Piliin ang papel batay sa kung saan nagsisimula ang trapiko
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Lakarin ang napiling hilera mula simula hanggang wakas bago mo baguhin ang anumang iba. I-enable ang papel, kumonekta ng isang client, kumpirmahin ang address kung saan ito lumalabas, kumpirmahin kung aling resolver ang ginagamit nito, at kumpirmahin ang daan pabalik sa tapat na direksyon. Kung may pahina rin ng firewall ang router, tingnan na ang bagong interface ay hindi hinaharangan ng default na patakaran na isinulat noong wala pa ang tunnel.
Kapag available ang parehong papel at talagang pareho ang pangangailangan, patakbuhin ang mga ito bilang hiwalay na feature na may hiwalay na dokumentasyon. Kayang tumawag palabas ng isang router para sa telebisyon at tumanggap ng koneksyon ng telepono sa NAS nang sabay, ngunit hindi dapat magbahagi ang dalawang patakaran ng subnet, setting ng DNS o zone ng firewall, o sisirain ng unang pagbabagong gagawin mo para sa isa ang isa pa.