Návod
Jak nastavit VPN na routeru
Kdy je router správným místem pro tunel a kdy ne, konfigurační soubor poskytovatele na vlastní stránce firmwaru s VPN klientem, DNS pro celý dům a kontroly ze zařízení za ním. Napsáno pro router, jehož firmware má stránku s VPN klientem; tento návod nic nepřehrává.
Než začnete
Tento návod za vás poskytovatele nevybere
Každý níže uvedený krok je stejný bez ohledu na to, kterého poskytovatele použijete, proto zde žádný není jmenován. Výběr je samostatný úkol a provádí se v registru, kde se rozhoduje podle zveřejněného skóre, nikoli podle stránky ke stažení.
Konfigurační soubory pocházejí z vlastní klientské zóny poskytovatele a odnikud jinud. Soubor z fóra obsahuje klíč někoho jiného nebo server někoho jiného.
Router je správným místem pro tunel, když zařízení za ním nemohou používat vlastního klienta — například televize, konzole nebo chytrý reproduktor — anebo když je cílem pokrýt všechna zařízení najednou bez nutnosti cokoli instalovat. Špatným místem je tehdy, když domácnost potřebuje tunel občas opustit: za routerem to žádné zařízení nedokáže a všechna zařízení sdílejí jeden exit, jednu zemi a jeden procesor. Ten určuje horní hranici rychlosti a je výrazně pomalejší než procesor notebooku. Pokud jsou důvodem jedno nebo dvě zařízení, nainstalujte klienta přímo do nich; stránky platforem uvádějí, kteří poskytovatelé je podporují.
Tento návod router nepřehrává. Nahrazení firmwaru jedním z běžných firmwarů třetích stran poskytne routeru lepší VPN klient než většina standardních firmwarů a zároveň jde o jediný krok v kterémkoli návodu na tomto webu, který může ze zařízení udělat nefunkční kus hardwaru. Pokud má firmware vašeho routeru stránku s VPN klientem, níže uvedené kroky stačí. Pokud ji nemá, rozhodnutí o přeinstalaci firmwaru je na vás a jeho pokyny poskytuje projekt daného firmwaru, ne my.
Načtení konfigurace
- Přihlaste se na webu poskytovatele a otevřete část účtu věnovanou routeru nebo ruční konfiguraci. Vygenerujte konfigurační soubor pro protokol podporovaný vaším firmwarem a pro požadovaný exit; jeden soubor znamená jeden exit. Soubor obsahuje váš klíč — zacházejte s ním jako s heslem.
- Otevřete administrační stránku routeru ze zařízení připojeného ke kabelové nebo domácí síti a vyhledejte stránku VPN klienta. Její název se liší — VPN client, VPN Fusion, WAN › VPN — ale jde o stránku klienta, který se připojuje ven, nikoli o stránku serveru, která umožňuje připojení zvenčí. Obě vypadají podobně a pouze jedna z nich patří do tohoto návodu.
- Importujte soubor nebo jeho pole vyplňte postupně tam, kde to firmware vyžaduje. Profil pojmenujte podle jeho exitu, aby se pozdější druhý profil dal rozlišit.
- Vyberte, která zařízení mají procházet tunelem, pokud to stránka nabízí, a prozatím vyberte všechna; seznam výjimek je pozdější úprava. Poté profil aktivujte.
- Tady nekončete. DNS a nouzový vypínač jsou na stejné nebo následující stránce a výchozí nastavení obou je vypnuto.
Nastavení, která stojí za kontrolu
Stránky firmwaru se liší, nastavení nikoli. Každé má ve slovníčku vlastní heslo, pokud jeho název neznáte.
DNS pro celý dům
Každé zařízení za routerem se routeru ptá, kde se co nachází, a router se ptá toho, komu byl nastaven. Pokud je tím resolver poskytovatele internetu, každý dotaz z domácnosti odchází mimo tunel, takže poskytovatel internetu ví, které stránky domácnost navštěvuje, a skryto zůstává pouze to, co na nich dělala. Nastavte DNS routeru — na stránce VPN klienta, pokud tam pro něj existuje pole, jinak na stránce WAN — na resolver uvedený v souboru poskytovatele a nastavte router tak, aby za resolver předával zařízením vlastní adresu. Žádné zařízení tak nedostane resolver poskytovatele internetu. Jak k úniku dochází, vysvětluje stránka o únicích DNS.
Nouzový vypínač
V routeru jde o pravidlo firewallu: když tunel nefunguje, nic ze zařízení vedených tunelem nesmí odejít běžnou cestou. Některé firmwary mají vypínač jako zaškrtávací políčko, některé mu říkají block routed clients if tunnel goes down a některé ho nemají vůbec. Pokud existuje, zapněte ho; při výpadku tunelu pak domácnost zůstane bez připojení až do opětovného navázání, což je jeho účelem. Pokud neexistuje, počítejte s tím, že výpadek tunelu bez upozornění vrátí všechna zařízení k běžnému připojení. K čemu vypínač slouží, vysvětluje jeho vlastní stránka.
IPv6
Většina routerových tunelů přenáší pouze IPv4. Pokud poskytovatel internetu poskytuje domácnosti také IPv6, zařízení ho použijí pro každý web, který ho nabízí, a tento provoz tunel obejde. Pokud soubor poskytovatele nenastavuje IPv6 uvnitř tunelu, během používání tunelu IPv6 na straně WAN vypněte.
Protokol
Všude, kde ho firmware nabízí, použijte moderní protokol — stránka protokolů uvádí, které jsou aktuální a které zastaralé — jednak z důvodu, proč ho registr hodnotí, a také proto, že na procesoru routeru je několikanásobně rychlejší než starší protokol. Starý router, který nabízí pouze zastaralý protokol, bude pomalý a zároveň se to projeví v jeho skóre.
Ověření, že skutečně funguje
Kontrolu provádějte ze zařízení za routerem, ne z vlastní stavové stránky routeru, která pouze říká, čemu router věří. Proveďte tyto tři kontroly v uvedeném pořadí:
- Adresa se změnila na zařízení bez vlastního klienta. Na notebooku nebo telefonu připojeném k Wi-Fi routeru otevřete libovolnou stránku typu „jaká je moje IP“, přičemž vypněte mobilní data a nespouštějte žádnou VPN aplikaci. Země by měla odpovídat zvolenému exitu.
- Dotazy probíhají uvnitř tunelu. Na stejném zařízení spusťte test úniku DNS. Jakýkoli údaj patřící vašemu poskytovateli internetu znamená, že výše uvedené nastavení DNS se neujalo nebo zařízení dostalo nesprávný resolver.
- Nouzový vypínač dělá to, co slibuje. Na daném zařízení spusťte stahování, poté na stránce routeru zakažte VPN profil nebo na chvíli odpojte kabel WAN routeru a znovu ho připojte. Během výpadku by se stahování mělo okamžitě zastavit a po obnovení připojení by nemělo pokračovat, dokud se neobnoví tunel. Pokud pokračuje, vypínač chybí nebo je vypnutý.
Delší sada testů a vysvětlení, co každý z nich může a nemůže ukázat, je v samostatném návodu.
Co tyto kontroly dokazují
+Každé zařízení v této síti odchází přes exit server v zemi, kterou jste vybrali, aniž by na něm bylo cokoli nainstalováno
+Poskytovatel internetu vidí jedno šifrované připojení z domácnosti a žádné dotazy
+Výpadek tunelu pro celou domácnost selže bezpečně, pokud firmware má vypínač
Co nedokazují
−Neříkají nic o tom, co poskytovatel uchovává — to je otázka dokumentů, na kterou odpovídají stránky o uchovávání
−Nikoho nečiní anonymním: každý účet na každém zařízení je stále přihlášený; viz před čím vás VPN neochrání
−Úspěšný test na jednom zařízení neříká nic o zařízení v jiné síti ani o zařízení s vlastní aplikací
Jeden dům, dvě sítě
Stížnost na routerový tunel je vždy stejná: něco potřebuje být mimo něj. Čistým řešením jsou dvě sítě místo jedné s výjimkami. Buď druhý router za prvním, na kterém běží tunel a jehož Wi-Fi používají zařízení, která mají být uvnitř, zatímco vše ostatní zůstává na Wi-Fi prvního routeru; nebo, pokud firmware umožňuje VPN pro jednotlivé sítě, hostovská či sekundární síť, která je vedena tunelem. Zařízení si pak vybírá podle toho, ke které síti se připojí: televize zůstane uvnitř, konzole venku a nikdo nemusí tunel pro celou domácnost vypínat.
Druhý router řeší také otázku rychlosti: přenáší pouze zařízení, která tunel potřebují, takže jeho procesor je horní hranicí jen pro ně.
Když to nefunguje
Všechno v domácnosti se zpomalilo
Router nyní šifruje každý bajt, který domácnost odesílá, na procesoru navrženém k předávání paketů, nikoli k jejich šifrování. Tuto hranici určuje router, ne poskytovatel, a dosáhne se jí výrazně dříve než u notebooku se stejným předplatným.
Moderní protokol je mnohem méně náročný než starší, proto ho používejte všude, kde ho firmware nabízí. Jinak je řešením rychlejší router nebo tunel na menším počtu zařízení — viz poslední část.
Jedno zařízení musí zůstat mimo tunel
Bankovní aplikace odmítající zahraniční adresu, herní konzole nebo chytrý reproduktor: něco takového se vždy najde. Některé firmwary umožňují zařízení vyloučit podle adresy, což je dělené tunelování na úrovni routeru. Pokud to firmware nedokáže, řešením je poslední část: druhá síť pro tunel, takže se zařízení jednoduše připojí k té druhé.
Nevypínejte kvůli jednomu zařízení tunel pro celou domácnost.
Tunel vypadává a nic se znovu nepřipojí
Většina firmwarů se připojí znovu sama, některé až po příslušném pokynu. Na stránce VPN klienta hledejte nastavení keep-alive, automatického opětovného připojení nebo watchdogu a zapněte ho. Pokud firmware má nouzový vypínač a ten je zapnutý, výpadek tunelu odpojí domácnost až do opětovného připojení — to znamená, že vypínač funguje.
Pokud tunel vypadává každý den ve stejnou dobu, poskytovatel internetu obnovuje vaši adresu a router si toho pomalu všímá. Pomůže kratší keep-alive.
Některé stránky u některých zařízení ukazují mou skutečnou zemi a u jiných ne
Tato zařízení neprocházejí tunelem routeru: telefon používající mobilní data, zařízení s vlastní VPN aplikací nebo zařízení v druhé síti, na kterou se tunel nevztahuje. Zkontrolujte, ke které síti je každé zařízení připojeno.
Pokud je zařízení v síti vedené tunelem a přesto ukazuje vaši skutečnou zemi, jeho DNS nebo IPv6 se dostává k internetu mimo router. Část o kontrolách vysvětluje, jak to vyhodnotit.
Stejné kroky, jiné stroje
Ostatní platformy
Každá platforma má vlastní návod, ne záložku na tomto. Kroky se rozcházejí, jakmile se otevře instalátor, a stránka, která odpovídá na tři platformy najednou, neodpovídá pořádně na žádnou.