Chế độ máy khách VPN trên router hay chế độ máy chủ: mỗi loại cho phép điều gì
Một vai trò của router gửi lưu lượng của bạn đến một lối ra từ xa, vai trò kia cho phép bạn vào lại. Hãy đọc menu, thông tin đăng nhập và đường quay về trước khi bật bất kỳ vai trò nào.
Bạn đăng nhập vào router, mở trang VPN và thấy hai tab trông như cùng một tính năng được mô tả hai lần: một bên muốn tệp hồ sơ từ nơi khác, bên kia muốn bạn tạo chứng chỉ và chọn cổng. Đây không phải hai góc nhìn của một cài đặt. Một vai trò khiến router gọi ra ngoài, vai trò kia khiến router trả lời, và một thiết bị có thể làm cả hai mà không cái nào giúp cái kia. Dưới đây là cách đọc menu và quyết định bạn đang ở phía nào trước khi bật bất cứ thứ gì.
Mở menu VPN và đọc tên các vai trò
Hãy bắt đầu từ tiêu đề các mục, không phải từ công tắc. Tab ghi máy khách hoặc “kết nối với một dịch vụ VPN” chờ một hồ sơ đã nhập, tệp cấu hình hoặc bộ thông tin đăng nhập do người khác cấp. Tab ghi máy chủ chờ bạn tạo danh tính, chọn giao thức và cổng, và thường xuất hồ sơ cho từng thiết bị sẽ kết nối.
Coi câu quảng cáo trên hộp là chưa được xác nhận cho đến khi menu khớp với nó. “Hỗ trợ VPN” có thể nghĩa là máy khách, máy chủ, một trợ thủ chuyển tiếp giao thức chỉ chuyển gói đến thiết bị phía sau router, hoặc một ứng dụng truy cập từ xa độc quyền không có hồ sơ chuẩn nào. Chỉ tài liệu firmware phân biệt các trường hợp đó, còn số model trên nhãn thì không.
Chế độ máy khách: mạng LAN của bạn đi ra qua lối ra của người khác
Ở chế độ máy khách, router hoạt động như một laptop chạy ứng dụng VPN. Nó cần một giao thức tương thích, hồ sơ hoặc thông tin đăng nhập từ nhà vận hành từ xa, và một quyết định định tuyến về việc thiết bị nào phía dưới dùng đường hầm. Nhiều firmware cung cấp danh sách chính sách trong đó bạn nêu địa chỉ nguồn hoặc giao diện cần gửi qua đường hầm và để phần còn lại trên kết nối thường.
Phần âm thầm hỏng là phía từ xa. Điểm cuối mà bạn kết nối phải chuyển tiếp lưu lượng internet thay bạn và cung cấp đường quay về, và đó là chính sách ở nhà cung cấp, không phải cài đặt trên router của bạn. Một menu chỉ có chế độ máy chủ không thể xây dịch vụ hướng ra này dù cấu hình thế nào, và một nhà cung cấp chỉ hỗ trợ liên kết giữa các site có thể kết nối đường hầm thành công nhưng lại bỏ mọi thứ bạn gửi qua đó.
Tiếp theo hãy kiểm tra cách đường hầm xử lý DNS. Nếu hồ sơ đẩy một trình phân giải, router nên chuyển trình phân giải đó cho các máy khách phía dưới; nếu không, máy khách vẫn dùng trình phân giải của nhà cung cấp và phân giải tên bên ngoài đường hầm dù gói tin đi vào trong. Kiểm tra nhanh từ một laptop đã kết nối: địa chỉ bạn thấy trên trang dội IP phải là lối ra, và địa chỉ trình phân giải đang dùng phải là địa chỉ mà đường hầm cung cấp.
Chế độ máy chủ: người khác đi vào mạng LAN của bạn
Chế độ máy chủ đảo ngược hướng. Router lắng nghe, thiết bị đang di chuyển kết nối, rồi router quyết định kết nối đó được chạm tới những tài nguyên nào trong nhà. Đây là vai trò bạn muốn cho NAS, máy phòng thí nghiệm hay máy in, và nó có một điều kiện tiên quyết mà vai trò máy khách không có: thứ gì đó từ bên ngoài phải chạm được tới bên lắng nghe.
Chính điều kiện tiên quyết đó khiến phần lớn cách lắp đặt tại gia bị tắc. Nếu router nằm sau cổng của chính nhà cung cấp, cổng VPN phải được chuyển tiếp từ cổng đó, hoặc router phải được đặt ở chế độ cầu nối hay DMZ. Sau NAT cấp nhà mạng thì không có cổng vào nào để chuyển tiếp, nên thiết kế phải thay đổi: một đường hầm đi ra từ router tới một relay, một điểm cuối được lưu trữ hoặc một sản phẩm mesh. Một máy chủ không thể chạm tới không phải là cấu hình sai, nó không thể chạm tới.
Danh tính cũng khác theo vai trò. Một hồ sơ máy khách gia đình gửi mọi thứ tới lối ra trả phí là một bí mật chia sẻ duy nhất, trong khi máy chủ nhận ba điện thoại và một laptop cần bốn danh tính có thể thu hồi riêng. Chứng chỉ và khóa là theo từng thiết bị, và trang xuất của router nên cho bạn một tệp cho mỗi thiết bị thay vì một tệp cho cả nhà.
Hãy kiểm tra cách triển khai chính xác trước khi cam kết
Tài liệu của Netgate về việc chọn vai trò VPN phân tách các vai trò theo cách này, và nên đọc trang tương đương cho firmware của bạn thay vì suy đoán từ tên tab. Hãy tìm ba dữ kiện cụ thể: máy khách nói được những giao thức nào, máy chủ có hỗ trợ giao thức mà thiết bị của bạn dùng không, và chính sách định tuyến có bao gồm địa chỉ nguồn, toàn bộ giao diện hay không bao gồm gì.
Sau đó hãy xem ranh giới hỗ trợ. Một router tiêu dùng có tab máy khách nhưng không có danh sách chính sách sẽ gửi mọi thiết bị qua đường hầm, điều này ổn cho một hộp streaming và sai cho một laptop làm việc cần đường hầm văn phòng. Một router có tab máy chủ nhưng chỉ một hồ sơ chia sẻ là công cụ phòng thí nghiệm hợp lý và là lựa chọn tồi cho gia đình, vì thu hồi một thiết bị nghĩa là thay đổi cấu hình của mọi người.
Chọn vai trò theo nơi lưu lượng bắt đầu
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Hãy đi hết hàng đã chọn từ đầu đến cuối trước khi thay đổi bất cứ thứ gì khác. Bật vai trò, kết nối một máy khách, xác nhận địa chỉ mà nó xuất hiện, xác nhận trình phân giải nào được dùng, và xác nhận đường quay về theo hướng ngược lại. Nếu router cũng có trang tường lửa, hãy kiểm tra rằng giao diện mới không bị chặn bởi một quy tắc mặc định được viết khi đường hầm chưa tồn tại.
Khi cả hai vai trò đều có và nhu cầu thực sự là cả hai, hãy chạy chúng như các tính năng riêng với tài liệu riêng. Một router có thể gọi ra ngoài cho tivi và nhận kết nối điện thoại tới NAS cùng lúc, nhưng hai chính sách không được chia sẻ một subnet, một cài đặt DNS hay một vùng tường lửa, nếu không thay đổi đầu tiên bạn làm cho một bên sẽ phá bên kia.