Режим мосту — це не pass-through VPN: що змінює кожен із них
Режим мосту змінює роль маршрутизатора під час пересилання; pass-through лише пропускає VPN клієнта крізь нього. Жоден не створює тунель, тому вони не взаємозамінні.
Режим мосту та pass-through VPN згадуються в одній і тій самій темі з усунення несправностей, бо обидва пропонують як ліки від VPN, який не підключається. Вони описують різні функції маршрутизатора, і жоден з них сам по собі не створює тунель VPN. Мост змінює те, як пристрій приєднується до сегментів мережі або хто виконує маршрутизацію; pass-through вирішує, чи може трафік VPN клієнта пройти через шлюз. Помилковий вибір перетворює дрібну проблему на цілий вечір повторної адресації.
Дві позначки, дві різні функції
Перевірка проста: ви намагаєтеся змінити форму мережі чи пропустити через неї трафік, який уже існує? Це різні запити з різними наслідками.
Порівняння в одній таблиці:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Лише останні два створюють тунель на маршрутизаторі. Мост і pass-through обидва залишають кінцеву точку деінде, тому жоден не виправить проблему, спричинену відсутнім клієнтом або недосяжним сервером. Цю різницю легко втратити, бо налаштування стоять поруч в одному інтерфейсі. Запишіть, якій кінцевій точці належить тунель, перш ніж відкрити ту сторінку.
І поле позначки pass-through не є повним описом підтримки протоколів. Сучасне проходження IPsec через NAT використовує стандартизовану інкапсуляцію UDP, тоді як старіші допоміжні функції мають поведінку, залежну від реалізації.
Маркетингова позначка про підтримку VPN не каже, яку з цих чотирьох ролей вона має на увазі.
Що режим мосту змінює на вашому пристрої
На модемі або маршрутизаторі опція мосту зазвичай переносить відповідальність за маршрутизацію та NAT на інший шлюз нижче в ланцюжку. На програмному пристрої це може означати об'єднання вибраних локальних інтерфейсів в один домен широкомовлення. Точний обсяг залежить від продукту, тому читайте документацію до моделі, а не до слова. Обидва тлумачення змінюють призначення адрес, межі брандмауера та спосіб доступу до адміністрування.
Саме тому переведення в мост є поганою першою реакцією на збій VPN. Можна втратити шлях керування, поки початкова проблема ще не вирішена.
Збережіть резервну копію конфігурації, перш ніж змінювати роль мережі, бо адресація може переїхати разом із нею.
Виберіть роль до налаштування
Щоб надсилати домашній трафік через зовнішній вихід, потрібен сумісний VPN-клієнт на маршрутизаторі, а не мост. Щоб підключитися назад додому з іншого місця, потрібна роль сервера та шлях угору, який до нього дістанеться. У цих двох вимог немає майже нічого спільного, крім слова VPN. Вирішіть, що саме ви будуєте, перш ніж дивитися в меню.
Пристрій може підтримувати обидві ролі й усе одно не підтримувати ту, яка вам потрібна, з очікуваною швидкістю.
Роль — це проєктне рішення; налаштування — його наслідок.
Якщо відмовляє лише один протокол
Коли один протокол не працює за справного в усьому іншому маршрутизатора, спершу дослідіть транспорт і шлях NAT цього протоколу. Змінювати весь режим шлюзу, щоб полагодити одного клієнта, — те саме, що переробляти проводку в домі через перегорілу лампу. Перевірте, чи трафік інкапсульовано в UDP, чи застосовується допоміжна функція маршрутизатора до цього протоколу і чи збій симетричний. Потім вирішіть, чи справді виправдана зміна ролі.
RFC 3948 описує інкапсуляцію UDP, завдяки якій IPsec виживає за NAT, і це той стандарт, який варто перевірити, перш ніж довіряти полю позначки pass-through.
Запишіть, що ви змінили і чому, бо наступна людина знайде пристрій у режимі мосту й вирішить, що так і задумано. Правильний результат — мережа тієї форми, яку обрали ви, а не та, що дісталася в спадок від сеансу усунення несправностей.