Telefon VPN tashqarisida qoldimi? Router tunneli yoki har bir qurilmada klient

Noutbuk VPN ga ulangan, telefon o'sha Wi-Fi tarmog'ida, lekin telefon baribir ISP manzilidan ko'rib chiqmoqda. Bu klient xatosi emas: tunnel uni tugatadigan mashinada yashaydi va boshqa hech narsa uni yaqinlik orqali meros olmaydi. Qamrov faqat router klientni o'zi ishga tushirganda yoki mashina ataylab LAN uchun shlyuzga aylantirilganda kengayadi. Qaysi modelni xohlayotganingizni uch narsa hal qiladi: provayderingiz haqiqatan gapiradigan protokol, qurilmalarni qanchalik boshqacha ko'rib chiqish kerakligi va kechqurun to'qqizda qanday nosozlikka chiday olishingiz.

Router tunneli aslida nimani qamrab oladi

Tunnel routerda tugaganda u orqali marshrutlaydigan har bir qurilma chiqishni bo'lishadi. Bu televizor, konsol yoki hech qachon klient ishga tushirmaydigan qurilma uchun jozibador: o'rnatadigan hech narsa yo'q, yangilab turadigan hech narsa yo'q va provayderni almashtiradigan bitta joy bor.

Qamrov odamlarni hayratga soladigan yo'llar bilan shartli. Mehmon tarmog'i yoki o'z siyosatiga ega ikkinchi SSID o'sha siyosat belgilagan yo'ldan boradi, tunneldan emas. IPv6 yo'li faqat IPv4 tashuvchi tunneldan chetlab o'tishi mumkin. O'z VPN ilovasi yoki o'z shifrlangan hal qiluvchisi bo'lgan qurilma routerni butunlay e'tiborsiz qoldiradi. Routerning o'z trafigi esa, yangilanishlar va DNS bilan birga, uning chiqish siyosatiga bo'ysunadi, bu LAN ning uzatilgan trafigidan boshqa yo'l.

Tekshiruv ikkala modelda ham bir xil va bir daqiqa oladi: ikkita qurilmadan dunyo qaysi manzilni ko'rishini so'rang, so'ng routerning ulanishlar ro'yxatidan tunnelni qarang. Agar telefon ISP manzilini xabar qilsa, router esa o'rnatilgan tunnelni ko'rsatsa, telefon u orqali marshrutlanmaydi va hech qanday qayta ulanish buni o'zgartirmaydi.

Har bir qurilmada klient qayerda yutadi

Har bir qurilmada klientlar talablar ajralishi bilanoq yutadi. Ish noutbukiga telefon qo'shilmasligi kerak bo'lgan korporativ tunnel kerak bo'lishi mumkin; provayder klienti ilova bo'yicha bo'lingan tunnel taklif qilishi mumkin, buni router ifodalay olmaydi; konsol NAT turini saqlash uchun tashqarida qolishi kerak bo'lishi mumkin. Har bir qurilma o'zi ham ishdan chiqadi, shuning uchun bitta muddati tugagan obuna butun uyni jim qilmaydi.

Hisob ma'lumotlari yanada o'tkir dalildir. Hammaning nomidan ulanadigan router bitta hisobni tutadi va o'sha tarmoqdagi har bir kishi uning kirishini meros oladi. Agar maqsad internetga kirishdan oldin har bir shaxsni autentifikatsiya qilish bo'lsa, routerdagi tunnel yolg'iz o'zi buni qila olmaydi. Odatiy yechim hisobni tekshirib, keyin klientni allaqachon o'rnatilgan tunnelga qo'yib yuboradigan captive portaldir, bu esa ko'pchilik uylar xohlaganidan ko'proq harakatlanuvchi qismlar.

Protokol qo'llab-quvvatlashi tanlovdan ko'ra ko'proq holatni hal qiladi

Iste'molchi routerlari faqat ishlab chiqaruvchi taqdim etgan protokollarni ko'rsatadi. PPTP, L2TP yoki oddiy IPsec bo'lgan router faqat OpenVPN yoki WireGuard profillarini e'lon qiladigan provayderga ulana olmaydi va hech qanday konfiguratsiya buni o'zgartirmaydi. Halol variantlar qo'llab-quvvatlanadigan protokolda gapiradigan provayder, kerakli klienti bo'lgan OpenWrt yoki boshqa proshivkali router yoki har bir qurilmada klientdir.

Qarama-qarshi holat ham shunchalik keng tarqalgan: OpenVPN qo'llab-quvvatlaydigan router xizmati o'z klientiga va o'z marshrutlash hiylalariga bog'liq provayderdan foydalana olmaydi. Uskuna sotib olishdan oldin provayderning qo'llab-quvvatlanadigan protokollar sahifasini o'qing va proshivka versiyasini tekshiring, chunki mahsulot sahifasidagi «WireGuard qo'llab-quvvatlaydi» ko'pincha bitta aniq proshivka avlodini bildiradi.

WireGuard klienti bo'lgan sayohat routeri router modelining arzon versiyasi va klient ishga tushira olmaydigan bir nechta qurilma uchun oqilona javobdir. Bu hali ham router tunnelidir, shuning uchun mehmon tarmoqlari, IPv6 va umumiy nosozlik haqida yuqorida aytilganlar o'zgarmagan holda amal qiladi.

Uchinchi variant: mashina shlyuz sifatida

Klientni noutbukdan ulashish mumkin va odamlar noutbukni routerga aylantirdim deganda odatda shuni nazarda tutadilar.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Bu mashina uxlaguncha, klient boshqa profilga qayta ulanmaguncha yoki mashinaning o'z xavfsizlik devori uzatilgan paketlarni tashlab yuborguncha ishlaydi. Shunda uning orqasidagi hamma bir vaqtda aloqani yo'qotadi va nosozlik VPN muammosi emas, o'lik tarmoq kabi ko'rinadi.

Laboratoriya yoki vaqtinchalik sozlama uchun bu yaxshi. Doimiy yechim sifatida u bitta noutbukni uy xo'jaligining yagona nosozlik nuqtasiga aylantiradi va odatda qopqoq yopilganda televizor nima uchun ishlamay qolganini kimdir hayrat bilan so'rashi bilan tugaydi.

Kiruvchi portlar, DNS va umumiy nosozlik

Kiruvchi xizmatlar tunnel bilan birga harakatlanadi. Routerdagi VPN odatda LAN serveri uchun port yo'naltirishni buzadi va dinamik DNS nomi xizmat tunnel orqali ochiq bo'lishi kerak bo'lsa, ISP manziliga emas, VPN chiqishiga ishora qilishi kerak. Ba'zi provayderlar umuman marshrutlanadigan kiruvchi manzil taklif qilmaydi, bu esa unga tayangan har qanday rejani jimgina tugatadi.

DNS router tunnelga ega bo'lganda unga ergashadi, bu esa bitta qurilmaga boshqa hal qiluvchi kerak bo'lgunga qadar qulaydir. Har bir qurilmada klient buni ifodalay oladi; router siyosati tarmoqni ikkiga bo'lmasdan buni qila olmaydi. Nosozlik ham umumiydir, chunki bitta qulash, bitta muddati tugagan obuna yoki bitta yomon itarilgan marshrut har bir qurilmani ayni damda uzadi.

Qurilmalar klientlarni ishga tushira olmasa va bitta chiqish maqbul bo'lsa, router modelini tanlang. Siyosatlar farq qilsa, provayderga routerda yo'q protokol kerak bo'lsa yoki hisobni bo'lishish mumkin bo'lmasa, har bir qurilmada klientlarni tanlang. Agar mashina shlyuz bo'lsa, qaysi interfeys qaysi tarmoqni bo'lishishini yozib qo'ying va «tunnel yiqildi» holatini sinab ko'ring, chunki bunday loyihalarning aksariyati aynan shu holatda xato bo'lib chiqadi.