Телефон поза VPN? Тунель на роутері чи клієнт на кожному пристрої

Ноутбук підключено до VPN, телефон у тій самій мережі Wi-Fi, і все ж телефон виходить в інтернет з адреси ISP. Це не помилка клієнта: тунель живе на машині, яка його завершує, і ніщо інше не успадковує його через близькість. Покриття поширюється лише тоді, коли роутер сам запускає клієнта, або коли машину навмисно перетворюють на шлюз для LAN. Яку модель вибрати, вирішують три речі: протокол, яким ваш провайдер справді говорить, наскільки по-різному треба обробляти пристрої та яку відмову ви витримаєте о дев'ятій вечора.

Що насправді охоплює тунель на роутері

Коли тунель завершується на роутері, кожен пристрій, який маршрутизує через нього, ділить вихід. У цьому привабливість для телевізора, консолі чи апарата, який ніколи не запустить клієнт: нічого встановлювати, нічого підтримувати в актуальному стані та одне місце для зміни провайдера.

Покриття є умовним у способи, які дивують людей. Гостьова мережа або другий SSID із власною політикою йде шляхом, який визначає ця політика, а не тунелем. Шлях IPv6 може обійти тунель, який несе лише IPv4. Пристрій із власним застосунком VPN або власним зашифрованим резолвером повністю ігнорує роутер. А власний трафік роутера, включно з оновленнями та DNS, дотримується його політики виходу, яка є іншим шляхом, ніж пересиланий трафік LAN.

Перевірка однакова в обох моделях і займає хвилину: запитайте два пристрої, яку адресу бачить світ, а потім подивіться в списку з'єднань роутера тунель. Якщо телефон повідомляє адресу ISP, поки роутер показує встановлений тунель, телефон не маршрутизується через нього, і жодне повторне підключення цього не змінить.

Де виграє клієнт на кожному пристрої

Клієнти на кожному пристрої виграють, щойно вимоги розходяться. Робочому ноутбуку може знадобитися корпоративний тунель, до якого телефон не повинен входити; клієнт провайдера може пропонувати розділений тунель за застосунком, чого роутер не вміє виразити; консолі, можливо, треба залишитися ззовні, щоб зберегти свій тип NAT. Кожен пристрій також відмовляє сам по собі, тож одна прострочена підписка не замовчує весь дім.

Облікові дані — гостріший аргумент. Роутер, який підключається від імені всіх, тримає один акаунт, і кожна людина в цій мережі успадковує його доступ. Якщо мета — автентифікація кожної людини перед доступом до інтернету, один тунель на роутері цього не може. Звичайне рішення — captive-портал, який перевіряє акаунт і потім випускає клієнта в уже встановлений тунель, а це більше рухомих частин, ніж хоче більшість домів.

Підтримка протоколів вирішує більше випадків, ніж уподобання

Споживчі роутери надають лише ті протоколи, які поставив виробник. Роутер із PPTP, L2TP або звичайним IPsec не може підключитися до провайдера, який публікує лише профілі OpenVPN або WireGuard, і жодне налаштування цього не змінить. Чесні варіанти — провайдер, який говорить підтримуваним протоколом, роутер з OpenWrt або іншою прошивкою та потрібним клієнтом, або клієнт на кожному пристрої.

Зворотний випадок так само частий: роутер із підтримкою OpenVPN не може використовувати провайдера, чия послуга залежить від власного клієнта та його власних трюків маршрутизації. Прочитайте сторінку провайдера про підтримувані протоколи до купівлі обладнання та перевірте версію прошивки, бо «підтримує WireGuard» на сторінці продукту часто означає одне конкретне покоління прошивки.

Дорожній роутер із клієнтом WireGuard — дешева версія моделі з роутером і розумна відповідь для кількох пристроїв, які не можуть запустити клієнт. Це все ще тунель на роутері, тому все сказане вище про гостьові мережі, IPv6 і спільну відмову діє без змін.

Третій варіант: машина як шлюз

Ділитися клієнтом із ноутбука можна, і це зазвичай і мають на увазі, коли кажуть, що перетворили ноутбук на роутер.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Це працює, доки машина не засне, клієнт не перепідключиться в інший профіль або власний брандмауер машини не відкине пересилані пакети. Тоді все за нею втрачає зв'язок одразу, і відмова виглядає як мертва мережа, а не як проблема VPN.

Для лабораторії або тимчасового налаштування це нормально. Як постійне рішення він робить один ноутбук єдиною точкою відмови домогосподарства, і зазвичай закінчується тим, що хтось дивується, чому телевізор перестав працювати, коли закрилася кришка.

Вхідні порти, DNS і спільна відмова

Вхідні служби переміщуються разом із тунелем. VPN на роутері зазвичай ламає перенаправлення портів для сервера в LAN, а динамічне ім'я DNS має вказувати на вихід VPN, а не на адресу ISP, якщо служба має бути доступною через тунель. Деякі провайдери взагалі не пропонують маршрутизовану вхідну адресу, що тихо завершує будь-який план, який на неї спирався.

DNS іде за роутером, коли роутер володіє тунелем, що зручно, доки одному пристрою не знадобиться інший резолвер. Клієнт на кожному пристрої може це виразити; політика роутера не може без поділу мережі на дві. Відмова теж спільна, бо один збій, одна прострочена підписка або один поганий просунутий маршрут відключають кожен пристрій у той самий момент.

Виберіть модель із роутером, коли пристрої не можуть запускати клієнти і один вихід прийнятний. Виберіть клієнтів на кожному пристрої, коли політики різняться, коли провайдеру потрібен протокол, якого роутер не має, або коли акаунт не можна ділити. Якщо машина — шлюз, запишіть, який інтерфейс ділить яку мережу, і перевірте випадок «тунель упав», бо саме в цьому стані більшість таких схем виявляються хибними.