Điện thoại bị bỏ ngoài VPN? Đường hầm trên router hay ứng dụng khách trên từng thiết bị

Máy tính xách tay đã kết nối với VPN, điện thoại ở cùng mạng Wi-Fi, vậy mà điện thoại vẫn duyệt web từ địa chỉ của ISP. Đây không phải lỗi của ứng dụng khách: đường hầm sống trên máy kết thúc nó, và không thiết bị nào khác thừa hưởng nó nhờ ở gần. Độ phủ chỉ lan rộng khi router tự chạy ứng dụng khách, hoặc khi một máy được cố ý biến thành cổng cho LAN. Bạn muốn mô hình nào do ba điều quyết định: giao thức mà nhà cung cấp của bạn thực sự nói, mức độ cần đối xử khác nhau với các thiết bị, và lỗi nào bạn có thể chịu được vào chín giờ tối.

Đường hầm trên router thực sự phủ những gì

Khi đường hầm kết thúc ở router, mọi thiết bị định tuyến qua nó đều dùng chung một lối ra. Đó là sức hút với TV, máy chơi game hay một thiết bị sẽ không bao giờ chạy ứng dụng khách: không phải cài gì, không phải cập nhật gì, và một nơi duy nhất để đổi nhà cung cấp.

Độ phủ có điều kiện theo những cách khiến người ta bất ngờ. Mạng khách hay SSID thứ hai có chính sách riêng đi theo con đường chính sách đó định ra, không phải đường hầm. Một đường IPv6 có thể vòng qua đường hầm chỉ mang IPv4. Thiết bị có ứng dụng VPN riêng hoặc bộ phân giải mã hóa riêng sẽ phớt lờ router hoàn toàn. Và lưu lượng của chính router, gồm cả cập nhật và DNS, tuân theo chính sách đầu ra của nó, khác đường với lưu lượng LAN được chuyển tiếp.

Việc kiểm tra giống nhau ở cả hai mô hình và mất một phút: hỏi hai thiết bị xem thế giới nhìn thấy địa chỉ nào, rồi xem danh sách kết nối của router có đường hầm hay không. Nếu điện thoại báo địa chỉ ISP trong khi router hiển thị đường hầm đã thiết lập, điện thoại không được định tuyến qua đó, và kết nối lại bao nhiêu lần cũng không đổi.

Ứng dụng khách trên từng thiết bị thắng ở đâu

Ứng dụng khách trên từng thiết bị thắng ngay khi yêu cầu khác nhau. Laptop công việc có thể cần đường hầm doanh nghiệp mà điện thoại không được vào; ứng dụng khách của nhà cung cấp có thể cung cấp đường hầm chia theo ứng dụng, điều router không diễn đạt được; máy chơi game có thể phải ở ngoài để giữ kiểu NAT. Mỗi thiết bị cũng hỏng riêng, nên một gói thuê hết hạn không làm cả nhà im lặng.

Thông tin đăng nhập là lập luận sắc hơn. Một router kết nối thay cho tất cả chỉ giữ một tài khoản, và mọi người trên mạng đó thừa hưởng quyền truy cập của nó. Nếu ý định là xác thực từng người trước khi vào internet, riêng đường hầm trên router không làm được. Thiết kế quen thuộc là một cổng chặn kiểm tra tài khoản rồi thả ứng dụng khách vào đường hầm đã thiết lập, tức là nhiều bộ phận chuyển động hơn mức hầu hết gia đình muốn.

Hỗ trợ giao thức quyết định nhiều trường hợp hơn sở thích

Router tiêu dùng chỉ phơi ra những giao thức mà hãng cung cấp. Router chỉ có PPTP, L2TP hay IPsec thường không thể kết nối với nhà cung cấp chỉ công bố hồ sơ OpenVPN hoặc WireGuard, và không cấu hình nào thay đổi được điều đó. Lựa chọn trung thực là nhà cung cấp nói giao thức được hỗ trợ, router chạy OpenWrt hoặc firmware khác với ứng dụng khách bạn cần, hoặc ứng dụng khách trên từng thiết bị.

Trường hợp ngược lại cũng phổ biến như vậy: router hỗ trợ OpenVPN không dùng được nhà cung cấp mà dịch vụ phụ thuộc vào ứng dụng khách độc quyền và các mẹo định tuyến riêng. Hãy đọc trang giao thức được hỗ trợ của nhà cung cấp trước khi mua phần cứng và kiểm tra phiên bản firmware, vì «hỗ trợ WireGuard» trên trang sản phẩm thường có nghĩa là một thế hệ firmware cụ thể.

Router du lịch có ứng dụng khách WireGuard là phiên bản rẻ của mô hình router, và là câu trả lời hợp lý cho vài thiết bị không chạy được ứng dụng khách. Nó vẫn là đường hầm trên router, nên mọi điều ở trên về mạng khách, IPv6 và lỗi chung vẫn áp dụng nguyên vẹn.

Lựa chọn thứ ba: một máy làm cổng

Chia sẻ ứng dụng khách từ laptop là khả thi, và đó là điều người ta thường nói khi bảo đã biến laptop thành router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Nó chạy cho đến khi máy ngủ, ứng dụng khách kết nối lại vào hồ sơ khác, hoặc tường lửa của máy tự bỏ gói tin được chuyển tiếp. Khi đó mọi thứ phía sau mất kết nối cùng lúc, và lỗi trông như mạng chết chứ không phải vấn đề VPN.

Với phòng thí nghiệm hay thiết lập tạm thời thì ổn. Như một cách bố trí lâu dài, nó biến một laptop thành điểm hỏng duy nhất của cả nhà, và thường kết thúc bằng câu hỏi vì sao TV ngừng chạy khi nắp máy đóng lại.

Cổng vào, DNS và lỗi chung

Các dịch vụ vào di chuyển cùng đường hầm. VPN trên router thường phá chuyển tiếp cổng cho máy chủ LAN, và tên DNS động phải trỏ tới lối ra VPN thay vì địa chỉ ISP nếu dịch vụ cần truy cập được qua đường hầm. Một số nhà cung cấp không cung cấp địa chỉ vào có thể định tuyến nào cả, điều này lặng lẽ kết thúc mọi kế hoạch dựa vào nó.

DNS đi theo router khi router sở hữu đường hầm, tiện cho đến khi một thiết bị cần bộ phân giải khác. Ứng dụng khách trên từng thiết bị diễn đạt được điều đó; chính sách của router thì không, trừ khi chia mạng làm hai. Lỗi cũng được chia sẻ, vì một lần sập, một gói thuê hết hạn hay một tuyến bị đẩy sai sẽ ngắt mọi thiết bị cùng lúc.

Chọn mô hình router khi thiết bị không chạy được ứng dụng khách và một lối ra là chấp nhận được. Chọn ứng dụng khách trên từng thiết bị khi chính sách khác nhau, khi nhà cung cấp cần giao thức mà router không có, hoặc khi không được chia sẻ tài khoản. Nếu một máy là cổng, hãy ghi lại giao diện nào chia mạng nào và thử trường hợp «đường hầm sập», vì đó là trạng thái mà phần lớn các thiết kế này hóa ra sai.