Routerdagi VPN mijozi yoki server rejimi: har biri nimani ta'minlaydi
Routerning bir roli trafigingizni uzoq chiqishga yuboradi, ikkinchisi sizni yana ichkariga kiritadi. Ikkalasini yoqishdan oldin menyular, hisob ma'lumotlari va qaytish yo'lini o'qing.
Routerga kirasiz, VPN sahifasini ochasiz va bir xil funksiya ikki marta tasvirlangandek ko'rinadigan ikkita yorliqni topasiz: biri boshqa joydan profil faylini so'raydi, ikkinchisi sertifikatlar yaratib, port tanlashni so'raydi. Bu bitta sozlamaning ikki ko'rinishi emas. Bir rol routerni tashqariga qo'ng'iroq qilishga majbur qilsa, ikkinchisi javob berishga majbur qiladi, va bitta qurilma ikkalasini ham qila oladi, biri ikkinchisiga yordam bermasdan. Menyuni qanday o'qish va biror narsani yoqishdan oldin qaysi tomonda ekaningizni qanday hal qilish quyida.
VPN menyusini oching va rollar nomlarini o'qing
Bo'lim sarlavhalaridan boshlang, almashtirgichlardan emas. Mijoz yoki “VPN xizmatiga ulan” deb belgilangan yorliq import qilingan profil, konfiguratsiya fayli yoki boshqa birov bergan hisob ma'lumotlari to'plamini kutadi. Server deb belgilangan yorliq sizdan identifikatorlar yaratish, protokol va port tanlash va odatda ulanadigan har bir qurilma uchun profil eksport qilishni kutadi.
Qutidagi marketing satrini menyu unga mos kelmaguncha tasdiqlanmagan deb hisoblang. “VPN qo'llab-quvvatlanadi” mijoz, server, faqat router orqasidagi qurilmaga paket yuboradigan protokol o'tkazish yordamchisi yoki umuman standart profili yo'q xususiy masofaviy kirish ilovasi bo'lishi mumkin. Bu holatlarni faqat firmware hujjatlari ajratadi, stikerdagi model raqami emas.
Mijoz rejimi: LAN tarmog'ingiz boshqa birovning chiqishi orqali chiqadi
Mijoz rejimida router VPN ilovasini ishlatayotgan noutbuk kabi harakat qiladi. Unga mos protokol, uzoq operatorning profili yoki hisob ma'lumotlari va qaysi quyi qurilmalar tunnelni ishlatishi haqidagi marshrutlash qarori kerak. Ko'pgina firmwarelar siyosat ro'yxatini taklif qiladi, unda tunnel orqali yuborilishi kerak bo'lgan manba manzillari yoki interfeyslar nomlanadi, qolganlari odatdagi ulanishda qoladi.
Jimlikda muvaffaqiyatsiz bo'ladigan qism uzoq tomon. Siz ulanadigan so'nggi nuqta sizning nomingizdan internet trafigini uzatishi va qaytish yo'lini ta'minlashi kerak, bu provayderdagi siyosat, sizning routeringizdagi sozlama emas. Faqat server rejimini taklif qiladigan menyu qanday sozlanmasin bu tashqi xizmatni qura olmaydi, va faqat sayt-sayt bog'lanishlarini qo'llab-quvvatlaydigan provayder tunnelni muvaffaqiyatli ulashi mumkin, lekin u orqali yuborganingizni tashlab yuboradi.
Keyin tunnel DNS bilan qanday ishlashini tekshiring. Agar profil hal qiluvchini itarib yuborsa, router o'sha hal qiluvchini quyi mijozlarga berishi kerak; bermasa, mijozlar provayder hal qiluvchisidan foydalanib, paketlar ichkariga kirsa ham nomlarni tunnel tashqarisida hal qiladi. Ulangan noutbukdan tezkor tekshiruv: IP aks-sado sahifasida ko'rgan manzil chiqish bo'lishi kerak, ishlatilayotgan hal qiluvchi manzili esa tunnel bergan manzil bo'lishi kerak.
Server rejimi: birov sizning LAN tarmog'ingizga kiradi
Server rejimi yo'nalishni teskari qiladi. Router tinglaydi, sayohatdagi qurilma ulanadi, so'ng router bu ulanish qaysi uy resurslariga yeta olishini hal qiladi. Bu NAS, laboratoriya mashinasi yoki printer uchun kerakli rol, va unda mijoz roliga xos bo'lmagan shart bor: tashqaridagi narsa tinglovchiga yeta olishi kerak.
Aynan shu shartda uy sozlamalarining ko'pchiligi tiqilib qoladi. Agar router provayderning o'z shlyuzi orqasida bo'lsa, VPN portini o'sha shlyuzdan yo'naltirish kerak, yoki routerni ko'prik yoki DMZ rejimiga qo'yish kerak. Operator darajasidagi NAT orqasida yo'naltirish uchun kiruvchi port umuman yo'q, shuning uchun dizaynni o'zgartirish kerak: routerdan relega, joylashtirilgan so'nggi nuqtaga yoki mesh mahsulotiga chiquvchi tunnel. Yetib bo'lmaydigan server noto'g'ri sozlanmagan emas, u yetib bo'lmaydigan.
Identifikatorlar ham rolga qarab farq qiladi. Hamma narsani pullik chiqishga yuboradigan uy mijozi profili bitta umumiy sir, uch telefon va bitta noutbukni qabul qiladigan serverga esa alohida bekor qilish mumkin bo'lgan to'rtta identifikator kerak. Sertifikatlar va kalitlar har bir qurilma uchun, routerning eksport sahifasi butun uy uchun bitta fayl emas, har bir qurilma uchun bitta fayl berishi kerak.
Majburiyat olishdan oldin aniq amalga oshirilishini tekshiring
Netgate'ning VPN rolini tanlash haqidagi hujjatlari rollarni shu tarzda ajratadi, va yorliq nomlaridan taxmin qilish o'rniga firmwareingiz uchun mos sahifani o'qishga arziydi. Uchta aniq faktni qidiring: mijoz qaysi protokollarda gaplasha oladi, server sizning qurilmalaringiz ishlatadigan protokolni qo'llab-quvvatlaydimi, va marshrutlash siyosati manba manzillarni, butun interfeyslarni yoki hech narsani qamrab oladimi.
Keyin qo'llab-quvvatlash chegarasiga qarang. Mijoz yorlig'i bor, lekin siyosat ro'yxati yo'q iste'molchi routeri har bir qurilmani tunnel orqali yuboradi, bu oqim qutisi uchun yaxshi, ofis tunneliga muhtoj ish noutbuki uchun noto'g'ri. Server yorlig'i bor, lekin bitta umumiy profili bor router oqilona laboratoriya asbobi va oila uchun yomon tanlov, chunki bitta qurilmani bekor qilish hammaning konfiguratsiyasini o'zgartirishni bildiradi.
Rolni trafik qayerdan boshlanishiga qarab tanlang
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Boshqa narsani o'zgartirishdan oldin tanlangan qatorni boshidan oxirigacha bosib o'ting. Rolni yoqing, bitta mijozni ulang, u qaysi manzil bilan ko'rinishini tasdiqlang, qaysi hal qiluvchini ishlatishini tasdiqlang va qarama-qarshi yo'nalishdagi qaytish yo'lini tasdiqlang. Agar routerda firewall sahifasi ham bo'lsa, yangi interfeys tunnel yo'q paytda yozilgan standart qoida bilan bloklanmaganini tekshiring.
Ikkala rol ham mavjud bo'lsa va talab haqiqatan ikkalasiga tegishli bo'lsa, ularni alohida hujjatlar bilan alohida funksiyalar sifatida ishga tushiring. Bitta router televizor uchun tashqariga qo'ng'iroq qilib, bir vaqtning o'zida NAS'ga telefon ulanishini qabul qilishi mumkin, lekin ikki siyosat subnet, DNS sozlamasi yoki firewall zonasini birgalikda ishlatmasligi kerak, aks holda biri uchun qilingan birinchi o'zgarish ikkinchisini buzadi.