Telefon VPN dışında mı kaldı? Yönlendirici tüneli mi, her cihazda istemci mi

Dizüstü bilgisayar VPN'e bağlı, telefon aynı Wi-Fi ağında ve telefon yine de ISP adresinden gezinıyor. Bu bir istemci hatası değil: tünel onu sonlandıran makinede yaşar ve başka hiçbir şey onu yakınlıkla devralmaz. Kapsam yalnızca yönlendirici istemciyi kendisi çalıştırdığında ya da bir makine bilerek LAN için geçit yapıldığında genişler. Hangi modeli istediğinizi üç şey belirler: sağlayıcınızın gerçekten konuştuğu protokol, cihazlara ne kadar farklı davranılması gerektiği ve akşam dokuzda hangi arızaya katlanabildiğiniz.

Yönlendirici tüneli gerçekte neyi kapsar

Tünel yönlendiricide sonlandığında, onun üzerinden yönlendirme yapan her cihaz çıkışı paylaşır. Bu, televizyon, konsol ya da hiçbir zaman istemci çalıştırmayacak bir cihaz için çekicidir: kurulacak bir şey yok, güncel tutulacak bir şey yok ve sağlayıcıyı değiştirmek için tek bir yer var.

Kapsam, insanları şaşırtan biçimlerde koşulludur. Konuk ağı ya da kendi politikası olan ikinci bir SSID, o politikanın belirlediği yolu izler, tüneli değil. Bir IPv6 yolu yalnızca IPv4 taşıyan bir tüneli atlatabilir. Kendi VPN uygulaması ya da kendi şifreli çözümleyicisi olan bir cihaz yönlendiriciyi tamamen yok sayar. Yönlendiricinin kendi trafiği ise, güncellemeler ve DNS dahil, kendi çıkış politikasını izler; bu, LAN'ın iletilen trafiğinden farklı bir yoldur.

Kontrol iki modelde de aynıdır ve bir dakika sürer: iki cihaza dünyanın hangi adresi gördüğünü sorun, sonra yönlendiricinin bağlantı listesinde tünele bakın. Telefon ISP adresini bildirirken yönlendirici kurulmuş bir tünel gösteriyorsa, telefon o tünelden yönlendirilmiyordur ve hiçbir yeniden bağlanma bunu değiştirmez.

Her cihazda istemci nerede kazanır

Her cihazda istemciler, gereksinimler ayrıştığı anda kazanır. Bir iş dizüstü bilgisayarı, telefonun katılmaması gereken bir kurumsal tünele ihtiyaç duyabilir; sağlayıcı istemcisi uygulama başına bölünmüş tünel sunabilir, bunu yönlendirici ifade edemez; bir konsol NAT türünü korumak için dışarıda kalması gerekebilir. Her cihaz ayrıca kendi başına arızalanır, böylece süresi dolmuş tek bir abonelik bütün evi susturmaz.

Kimlik bilgileri daha keskin argümandır. Herkes adına bağlanan bir yönlendirici tek bir hesap tutar ve o ağdaki herkes onun erişimini devralır. Niyet, internete erişimden önce kişi başına kimlik doğrulama ise, yönlendiricideki tünel tek başına bunu yapamaz. Alışılmış tasarım, hesabı doğrulayan ve ardından istemciyi zaten kurulmuş bir tünele bırakan bir captive portaldır; bu, çoğu evin istediğinden daha fazla hareketli parçadır.

Protokol desteği tercihten daha çok durumu belirler

Tüketici yönlendiricileri yalnızca üreticinin sunduğu protokolleri sunar. PPTP, L2TP veya düz IPsec içeren bir yönlendirici, yalnızca OpenVPN ya da WireGuard profilleri yayımlayan bir sağlayıcıya bağlanamaz ve hiçbir yapılandırma bunu değiştirmez. Dürüst seçenekler, desteklenen bir protokol konuşan sağlayıcı, gerekli istemciyle OpenWrt ya da başka bir bellenim çalıştıran yönlendirici veya her cihazda istemcidir.

Tersi durum da aynı sıklıkta: OpenVPN destekli bir yönlendirici, hizmeti kendi istemcisine ve kendi yönlendirme hilelerine bağlı bir sağlayıcıyı kullanamaz. Donanım satın almadan önce sağlayıcının desteklenen protokoller sayfasını okuyun ve bellenim sürümünü kontrol edin, çünkü ürün sayfasındaki «WireGuard destekler» genellikle belirli bir bellenim kuşağı anlamına gelir.

WireGuard istemcili bir seyahat yönlendiricisi, yönlendirici modelinin ucuz sürümüdür ve istemci çalıştıramayan birkaç cihaz için makul bir yanıttır. Yine de bir yönlendirici tünelidir, bu yüzden konuk ağları, IPv6 ve ortak arıza hakkında yukarıda söylenenler değişmeden geçerlidir.

Üçüncü seçenek: geçit olarak bir makine

Bir istemciyi dizüstü bilgisayardan paylaşmak mümkündür ve insanlar dizüstü bilgisayarı yönlendiriciye çevirdim derken genellikle bunu kasteder.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Bu, makine uyuyana, istemci başka bir profile yeniden bağlanana ya da makinenin kendi güvenlik duvarı iletilen paketleri düşürene kadar çalışır. O zaman arkasındaki her şey aynı anda bağlantıyı kaybeder ve arıza VPN sorunu değil, ölü bir ağ gibi görünür.

Bir laboratuvar ya da geçici kurulum için uygundur. Kalıcı bir düzenleme olarak bir dizüstü bilgisayarı hane halkının tek arıza noktası yapar ve genellikle bir kapak kapandığında televizyonun neden çalışmayı bıraktığını birinin merak etmesiyle biter.

Gelen bağlantı noktaları, DNS ve paylaşılan arıza

Gelen hizmetler tünelle birlikte hareket eder. Yönlendiricideki bir VPN genellikle LAN sunucusu için bağlantı noktası yönlendirmesini bozar ve dinamik bir DNS adı, hizmetin tünelden erişilebilir olması gerekiyorsa ISP adresine değil VPN çıkışına işaret etmelidir. Bazı sağlayıcılar yönlendirilebilir bir gelen adres hiç sunmaz, bu da ona dayanan her planı sessizce bitirir.

DNS, tünelin sahibi yönlendirici olduğunda onu izler; bu, bir cihaz başka bir çözümleyiciye ihtiyaç duyana kadar kullanışlıdır. Her cihazda istemci bunu ifade edebilir; bir yönlendirici politikası ağı ikiye bölmeden edemez. Arıza da paylaşılır, çünkü tek bir çökme, süresi dolmuş tek bir abonelik ya da hatalı tek bir itilen rota her cihazın bağlantısını aynı anda keser.

Cihazlar istemci çalıştıramıyorsa ve tek bir çıkış kabul edilebilirse yönlendirici modelini seçin. Politikalar farklıysa, sağlayıcı yönlendiricide olmayan bir protokol gerektiriyorsa ya da hesap paylaşılmamalıysa her cihazda istemcileri seçin. Makine geçitse, hangi arayüzün hangi ağı paylaştığını yazın ve «tünel düştü» durumunu test edin, çünkü bu tasarımların çoğu tam da bu durumda yanlış çıkar.