Перевірте роль клієнта на маршрутизаторі, перш ніж імпортувати профіль VPN

Сторінка специфікацій з логотипом VPN каже, що пристрій уміє щось робити з VPN. Вона не каже, що прошивка може виступати клієнтом для протоколу у файлі, який ви тримаєте. Це різні можливості з різними вимогами, і розрив між ними — те місце, де більшість таких покупок ідуть не так. Перевірте роль раніше за бренд.

Чотири перевірки перетворюють список функцій на відповідь.

Логотип VPN — не заява про можливості

Маршрутизатори рекламують підтримку VPN щонайменше в трьох сенсах: транзит для трафіку з інших пристроїв, сервер, що приймає вхідні тунелі, і клієнт, що ініціює вихідний тунель. Лише третій споживає завантажений профіль. Транзит IPsec зокрема є помічником NAT, а не кінцевою точкою, і він трапляється на пристроях, які взагалі не можуть завершувати або ініціювати IPsec.

Запитайте, яка роль потрібна файлу, потім запитайте, чи є ця роль у версії прошивки на пристрої.

Читайте список функцій для тієї прошивки, яку ви справді використовуєте

Назви моделей — не версії прошивки, а посібник, написаний для попереднього великого випуску, описує інший набір функцій. На OpenWrt на питання можна відповісти з оболонки: opkg list-installed | grep -E "openvpn|wireguard" покаже, чи є клієнтські пакети, а модуль ядра WireGuard відокремлений від інструментів простору користувача. На пристрої постачальника читайте примітки до випуску встановленої збірки, а не маркетингову сторінку моделі.

Якщо можливість постачається пакетом, переконайтеся, що він встановлений, а не просто доступний у репозиторії.

Зіставте формат профілю з імпортером

Профіль OpenVPN — це мова директив. Файл партнера WireGuard — це INI з приватним ключем і списком дозволених IP-адрес. Облікові дані IKEv2 — це сертифікат або ім'я користувача плюс ідентичність сервера. Форма на маршрутизаторі, що приймає одну з них, не перекладе інші, а кнопка імпорту, яка обіцяє прийняти будь-що, заслуговує на недовіру.

Відкрийте файл і прочитайте перші десять рядків. Це скаже вам, який імпортер потрібен, раніше за будь-яке меню.

Перевірте параметри, які профіль справді використовує

Підтримка протоколу — не підтримка вашого профілю. Подивіться на директиви, що несуть властивості безпеки: вбудовані сертифікати, tls-crypt або tls-auth, вибір шифру та шифру даних, стиснення й скриптові гачки. Реалізація на маршрутизаторі може прийняти файл і мовчки проігнорувати директиву, яку вона не виконує, і тоді тунель підключається, але поводиться інакше, ніж на вашому ноутбуці.

Небезпечний результат — не відхилений імпорт. Це прийнятий імпорт, який тихо щось загубив.

Перевіряйте політику, а не лише рукостискання

Вирішіть, що з'єднання має нести: один сегмент чи кожен пристрій, який розв'язувач DNS, чи входить IPv6 у тунель або залишається локальним, і що відбувається, коли тунель падає. Це окремі функції від встановлення, і саме тут маршрутизатор найбільше відрізняється від настільного клієнта. Тримайте локальне адміністрування доступним під час тестування, інакше перша помилка маршрутизації коштуватиме вам фізичного доступу.

Завершене рукостискання — початок перевірки. Надішліть реальний трафік на реальну адресу й перевірте зворотний шлях.