VPN-клієнт на маршрутизаторі чи режим сервера: що дає кожен

Ви входите в маршрутизатор, відкриваєте сторінку VPN і бачите дві вкладки, які виглядають як одна й та сама функція, описана двічі: одній потрібен файл профілю з іншого місця, другій потрібно, щоб ви створили сертифікати й вибрали порт. Це не два подання одного налаштування. Одна роль змушує маршрутизатор дзвонити назовні, друга — відповідати, і один пристрій може робити і те, і те, не допомагаючи одне одному. Ось як читати меню й визначити, на чиєму боці ви перебуваєте, перш ніж щось вмикати.

Відкрийте меню VPN і прочитайте назви ролей

Почніть із заголовків розділів, а не з перемикачів. Вкладка з позначкою клієнт або «підключитися до служби VPN» очікує імпортований профіль, файл конфігурації або набір облікових даних, виданих кимось іншим. Вкладка з позначкою сервер очікує, що ви створите ідентичності, виберете протокол і порт і зазвичай експортуєте профіль для кожного пристрою, що підключатиметься.

Вважайте маркетинговий рядок на коробці непідтвердженим, доки меню йому не відповідатиме. «Підтримка VPN» може означати клієнт, сервер, помічник пропускання протоколу, який лише пересилає пакети пристрою за маршрутизатором, або власний застосунок віддаленого доступу взагалі без стандартного профілю. Лише документація прошивки розрізняє ці випадки, а номер моделі на наклейці — ні.

Режим клієнта: ваша локальна мережа виходить через чужий вихід

У режимі клієнта маршрутизатор поводиться як ноутбук із застосунком VPN. Йому потрібні сумісний протокол, профіль або облікові дані від віддаленого оператора й рішення про маршрутизацію, які пристрої нижче використовують тунель. Багато прошивок пропонують список правил, де ви називаєте вихідні адреси або інтерфейси, які треба надсилати через тунель, а решту залишаєте на звичайному з’єднанні.

Частина, яка тихо відмовляє, — це віддалена сторона. Кінцева точка, до якої ви підключаєтеся, має пересилати інтернет-трафік за вас і забезпечувати зворотний шлях, і це політика в постачальника, а не налаштування на вашому маршрутизаторі. Меню, яке пропонує лише режим сервера, не може побудувати цю зовнішню послугу, як би його не налаштовували, а постачальник, що підтримує лише зв’язки між майданчиками, може успішно підключити тунель, але відкидати все, що ви через нього надсилаєте.

Далі перевірте, як тунель поводиться з DNS. Якщо профіль проштовхує резолвер, маршрутизатор має передати цей резолвер клієнтам нижче; якщо ні, клієнти далі використовують резолвер постачальника й розв’язують імена поза тунелем, хоча пакети йдуть усередину. Швидка перевірка з підключеного ноутбука: адреса, яку ви бачите на сторінці відлуння IP, має бути виходом, а використовувана адреса резолвера має бути тією, що її надав тунель.

Режим сервера: хтось інший заходить у вашу локальну мережу

Режим сервера змінює напрямок. Маршрутизатор слухає, мандрівний пристрій підключається, і тоді маршрутизатор вирішує, до яких домашніх ресурсів це з’єднання може дістатися. Це та роль, яка потрібна для NAS, лабораторної машини або принтера, і в неї є передумова, якої немає в ролі клієнта: щось ззовні має вміти дістатися до слухача.

Саме на цій передумові застрягає більшість домашніх інсталяцій. Якщо маршрутизатор стоїть за власним шлюзом постачальника, порт VPN треба переспрямувати з цього шлюзу або перевести маршрутизатор у режим мосту чи DMZ. За NAT операторського рівня вхідного порту для переспрямування взагалі немає, тож проєкт доведеться змінити: вихідний тунель від маршрутизатора до ретранслятора, розміщеної кінцевої точки або mesh-продукту. Сервер, до якого не можна дістатися, не налаштований неправильно — він недосяжний.

Ідентичності теж різняться залежно від ролі. Домашній профіль клієнта, що надсилає все на платний вихід, — це один спільний секрет, а серверу, який приймає три телефони й ноутбук, потрібні чотири ідентичності, які можна відкликати окремо. Сертифікати й ключі видаються на кожен пристрій, і сторінка експорту маршрутизатора має давати по файлу на пристрій, а не один файл на весь дім.

Перевірте точну реалізацію, перш ніж брати зобов’язання

Документація Netgate про вибір ролі VPN розділяє ролі саме так, і варто прочитати відповідну сторінку для вашої прошивки, а не здогадуватися з назв вкладок. Шукайте три конкретні факти: які протоколи вміє клієнт, чи підтримує сервер протокол, який використовують ваші пристрої, і чи охоплює політика маршрутизації вихідні адреси, цілі інтерфейси або нічого.

Потім подивіться на межу підтримки. Споживчий маршрутизатор із вкладкою клієнта, але без списку правил, надсилатиме кожен пристрій через тунель, що годиться для приставки й не годиться для робочого ноутбука, якому потрібен офісний тунель. Маршрутизатор із вкладкою сервера, але одним спільним профілем — розумний лабораторний інструмент і поганий вибір для родини, бо відкликання одного пристрою означає зміну конфігурації всіх.

Виберіть роль за тим, де починається трафік

Пройдіть вибраний рядок від початку до кінця, перш ніж змінювати щось інше. Увімкніть роль, підключіть одного клієнта, підтвердьте адресу, під якою він з’являється, підтвердьте, який резолвер він використовує, і підтвердьте зворотний шлях у протилежному напрямку. Якщо в маршрутизатора є й сторінка міжмережевого екрана, перевірте, що новий інтерфейс не блокується правилом за замовчуванням, написаним тоді, коли тунелю ще не було.

Коли доступні обидві ролі й вимога справді стосується обох, запускайте їх як окремі функції з окремою документацією. Один маршрутизатор може дзвонити назовні для телевізора й водночас приймати підключення телефона до NAS, але дві політики не повинні ділити підмережу, налаштування DNS або зону міжмережевого екрана, інакше перша зміна, зроблена для однієї, зламає другу.