Chế độ cầu nối không phải pass-through VPN: mỗi thứ thay đổi điều gì
Chế độ cầu nối thay đổi vai trò chuyển tiếp của router; pass-through chỉ cho VPN của một máy khách đi qua. Cả hai đều không tạo đường hầm, nên không thể thay thế nhau.
Chế độ cầu nối và pass-through VPN xuất hiện trong cùng một luồng xử lý sự cố vì cả hai đều được đưa ra như cách khắc phục một VPN không kết nối được. Chúng mô tả những chức năng khác nhau của router, và không cái nào tự tạo ra đường hầm VPN. Cầu nối thay đổi cách một thiết bị tham gia vào các phân đoạn mạng hoặc ai thực hiện định tuyến; pass-through quyết định liệu lưu lượng VPN của máy khách có đi qua được một gateway hay không. Chọn sai biến một vấn đề nhỏ thành cả buổi chiều đánh địa chỉ lại.
Hai nhãn, hai chức năng khác nhau
Phép thử rất đơn giản: bạn đang cố thay đổi hình dạng của mạng, hay để lưu lượng đã tồn tại đi qua nó? Đó là hai yêu cầu khác nhau với những hệ quả khác nhau.
So sánh trong một bảng:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Chỉ hai mục cuối tạo đường hầm trên router. Cầu nối và pass-through đều để điểm cuối ở nơi khác, vì thế không cái nào sửa được sự cố do thiếu máy khách hoặc do máy chủ không thể truy cập. Rất dễ đánh mất sự phân biệt này vì các thiết lập nằm sát nhau trong cùng một giao diện. Hãy ghi lại điểm cuối nào sở hữu đường hầm trước khi mở trang đó.
Ô chọn pass-through cũng không phải là mô tả đầy đủ về hỗ trợ giao thức. Việc xuyên NAT của IPsec hiện đại dùng đóng gói UDP được chuẩn hóa, còn các tính năng trợ giúp cũ có hành vi phụ thuộc vào cách triển khai.
Một nhãn tiếp thị nói có hỗ trợ VPN không cho bạn biết nó muốn nói vai trò nào trong bốn vai trò này.
Chế độ cầu nối thay đổi gì trên thiết bị của bạn
Trên modem hoặc router, tùy chọn cầu nối thường chuyển trách nhiệm định tuyến và NAT sang một gateway khác ở phía dưới. Trên thiết bị phần mềm, nó có thể có nghĩa là gộp các giao diện cục bộ được chọn vào một miền quảng bá duy nhất. Phạm vi chính xác phụ thuộc vào sản phẩm, nên hãy đọc tài liệu cho đúng model chứ không phải cho đúng từ ngữ. Cả hai cách hiểu đều thay đổi việc cấp địa chỉ, ranh giới tường lửa và cách bạn tiếp cận phần quản trị.
Đó là lý do cầu nối là phản ứng đầu tiên tồi tệ với một sự cố VPN. Bạn có thể mất đường quản lý trong khi vấn đề ban đầu vẫn chưa được giải quyết.
Hãy sao lưu cấu hình trước khi thay đổi vai trò mạng, vì việc đánh địa chỉ có thể di chuyển theo nó.
Chọn vai trò trước khi chọn thiết lập
Để gửi lưu lượng trong nhà ra một lối ra bên ngoài, bạn cần một máy khách VPN tương thích trên router, không phải cầu nối. Để kết nối trở lại nhà từ nơi khác, bạn cần vai trò máy chủ cùng một đường đi lên có thể chạm tới nó. Hai yêu cầu đó gần như không có gì chung ngoài từ VPN. Hãy quyết định bạn đang xây cái nào trước khi nhìn vào menu.
Một thiết bị có thể hỗ trợ cả hai vai trò mà vẫn không hỗ trợ được vai trò bạn cần với tốc độ bạn mong đợi.
Vai trò là một quyết định thiết kế; thiết lập là hệ quả của nó.
Nếu chỉ một giao thức thất bại
Khi một giao thức thất bại phía sau một router vẫn hoạt động bình thường, hãy điều tra trước hết về vận chuyển và đường NAT của giao thức đó. Thay đổi toàn bộ chế độ gateway để sửa một máy khách giống như đấu lại dây điện cả nhà vì một bóng đèn hỏng. Hãy kiểm tra xem lưu lượng có được đóng gói bằng UDP không, tính năng trợ giúp của router có áp dụng cho giao thức đó không, và sự cố có đối xứng không. Sau đó quyết định xem việc đổi vai trò có thực sự chính đáng.
RFC 3948 mô tả cách đóng gói UDP giúp IPsec tồn tại qua NAT, và đó là tiêu chuẩn cần kiểm tra trước khi tin vào một ô chọn pass-through.
Ghi lại bạn đã thay đổi gì và vì sao, vì người tiếp theo sẽ thấy thiết bị ở chế độ cầu nối và cho rằng đó là cố ý. Kết quả đúng là một mạng có hình dạng do bạn chọn, chứ không phải mạng thừa hưởng từ một phiên xử lý sự cố.