Poradnik
Jak skonfigurować VPN na routerze
Kiedy router jest właściwym miejscem dla tunelu, a kiedy nie, plik konfiguracyjny dostawcy na stronie własnego klienta VPN w oprogramowaniu sprzętowym, DNS dla całego domu oraz testy z urządzenia znajdującego się za routerem. Tekst powstał z myślą o routerze, którego oprogramowanie sprzętowe ma stronę klienta VPN; ten poradnik nie obejmuje ponownego wgrywania oprogramowania.
Zanim zaczniesz
Ten poradnik nie wybiera dostawcy za ciebie
Każdy opisany niżej krok wygląda tak samo niezależnie od używanego dostawcy, dlatego żaden nie został tu wymieniony. Wybór to osobne zadanie, które wykonuje się w rejestrze, gdzie decyzja opiera się na opublikowanym wyniku, a nie na stronie pobierania.
Pliki konfiguracyjne pochodzą z własnego panelu konta dostawcy i znikąd indziej. Plik z forum zawiera klucz należący do kogoś innego albo serwer należący do kogoś innego.
Router jest właściwym miejscem dla tunelu, gdy urządzenia znajdujące się za nim nie mogą uruchomić własnego klienta — telewizor, konsola, inteligentny głośnik — albo gdy chodzi o objęcie wszystkich urządzeń naraz bez instalowania czegokolwiek. Nie jest właściwym miejscem, gdy dom czasem musi wyjść z tunelu: za routerem nie może tego zrobić żadne urządzenie, a wszystkie dzielą jeden węzeł wyjściowy, jeden kraj i jeden procesor. Ten procesor ogranicza prędkość i jest znacznie słabszy od procesora laptopa. Jeśli chodzi tylko o jedno lub dwa urządzenia, zainstaluj klienta właśnie na nich; strony platform wskazują, którzy dostawcy je obsługują.
Ten poradnik nie obejmuje ponownego wgrywania oprogramowania do routera. Zastąpienie oprogramowania sprzętowego jednym z popularnych oprogramowań firm trzecich daje routerowi lepszego klienta VPN niż większość wersji fabrycznych, ale jest też jedynym krokiem w poradnikach tej strony, który może zamienić sprzęt w cegłę. Jeśli oprogramowanie sprzętowe routera ma stronę klienta VPN, poniższe kroki wystarczą. Jeśli jej nie ma, decyzja o ponownym wgraniu oprogramowania należy do ciebie, a instrukcje pochodzą od projektu tego oprogramowania, nie od nas.
Wczytaj konfigurację
- Zaloguj się na stronie dostawcy i otwórz sekcję routera lub konfiguracji ręcznej w panelu konta. Wygeneruj plik konfiguracyjny dla protokołu obsługiwanego przez oprogramowanie sprzętowe oraz wybranego węzła wyjściowego; jeden plik odpowiada jednemu węzłowi wyjściowemu. Plik zawiera twój klucz — traktuj go jak hasło.
- Otwórz stronę administracyjną routera z urządzenia podłączonego do sieci przewodowej lub domowej i znajdź stronę klienta VPN. Jej nazwa bywa różna — VPN client, VPN Fusion, WAN › VPN — ale jest to strona klienta, który łączy się na zewnątrz, a nie strona serwera, która pozwala łączyć się z zewnątrz. Obie wyglądają podobnie, ale tylko jedna z nich jest opisana w tym poradniku.
- Zaimportuj plik albo wklej kolejno jego pola w miejscach wskazanych przez oprogramowanie sprzętowe. Nadaj profilowi nazwę węzła wyjściowego, aby później można było odróżnić go od kolejnego.
- Wybierz, które urządzenia mają korzystać z tunelu, jeśli strona to umożliwia, i na razie wybierz wszystkie; lista wyjątków będzie późniejszym dopracowaniem konfiguracji. Następnie aktywuj profil.
- Nie kończ na tym. DNS i wyłącznik awaryjny znajdują się na tej samej stronie albo na następnej, a domyślnie oba są wyłączone.
Ustawienia, które warto sprawdzić
Strony oprogramowania sprzętowego się różnią, ale ustawienia pozostają takie same. Każde z nich ma hasło w słowniku, jeśli jego nazwa jest nieznana.
DNS dla całego domu
Każde urządzenie za routerem pyta router, gdzie znajdują się poszczególne adresy, a router pyta wskazany serwer. Jeśli jest nim resolver dostawcy internetu, każde wyszukiwanie adresu w domu odbywa się poza tunelem, co informuje dostawcę internetu, jakie strony odwiedza dom, i ukrywa tylko to, co zostało na nich zrobione. Ustaw DNS routera — na stronie klienta VPN, jeśli znajduje się tam odpowiednie pole, a w przeciwnym razie na stronie WAN — na resolver wskazany w pliku dostawcy, a następnie ustaw router tak, aby przekazywał urządzeniom własny adres jako resolver, dzięki czemu żadne urządzenie nie otrzyma adresu resolvera dostawcy internetu. Sposób powstawania wycieku opisano na stronie o wyciekach DNS.
Wyłącznik awaryjny
W routerze jest to reguła zapory: gdy tunel nie działa, nic z urządzeń korzystających z tunelu nie może wyjść zwykłą trasą. Niektóre wersje oprogramowania sprzętowego mają wyłącznik w formie pola wyboru, niektóre nazywają go block routed clients if tunnel goes down, a niektóre nie mają go wcale. Jeśli jest dostępny, włącz go; połączenie z domem zostanie wtedy przerwane do czasu ponownego połączenia, i właśnie o to chodzi. Jeśli go nie ma, pamiętaj, że zerwanie tunelu bez żadnego komunikatu zwróci każde urządzenie do zwykłego połączenia. Przeznaczenie wyłącznika opisano na jego własnej stronie.
IPv6
Większość tuneli routerowych obsługuje tylko IPv4. Jeśli dostawca internetu zapewnia domowi także IPv6, urządzenia użyją go dla każdej strony, która je oferuje, a ten ruch ominie tunel. Jeśli plik dostawcy nie konfiguruje IPv6 wewnątrz tunelu, wyłącz IPv6 po stronie WAN na czas korzystania z tunelu.
Protokół
Wybierz nowszy protokół wszędzie tam, gdzie oferuje go oprogramowanie sprzętowe — strona protokołów wskazuje, które są aktualne, a które należą do starszych — zarówno z powodu, dla którego rejestr uwzględnia go w wyniku, jak i dlatego, że na procesorze routera jest kilkakrotnie szybszy od starszego. Stary router oferujący tylko starszy protokół będzie wolny, a do tego otrzyma niższy wynik.
Sprawdź, czy wszystko rzeczywiście działa
Wykonaj test z urządzenia za routerem, a nie z jego własnej strony stanu, która mówi tylko, co router uważa za prawdę. Wykonaj trzy sprawdzenia, w tej kolejności:
- Adres zmienił się na urządzeniu bez własnego klienta. Otwórz dowolną stronę typu „jaki jest mój adres IP” na laptopie lub telefonie połączonym z Wi-Fi routera, przy wyłączonej transmisji danych i bez uruchomionej aplikacji VPN. Kraj powinien odpowiadać wybranemu węzłowi wyjściowemu.
- Wyszukiwania odbywają się wewnątrz tunelu. Uruchom test wycieku DNS na tym samym urządzeniu. Jakiekolwiek dane należące do dostawcy internetu oznaczają, że powyższe ustawienie DNS nie zadziałało albo urządzenie otrzymało niewłaściwy resolver.
- Wyłącznik awaryjny działa zgodnie z opisem. Przy trwającym pobieraniu na tym urządzeniu wyłącz profil VPN na stronie routera albo na chwilę odłącz kabel WAN routera i podłącz go ponownie. W czasie przerwy pobieranie powinno natychmiast się zatrzymać, a po przywróceniu połączenia nie powinno wznowić się, dopóki tunel nie zacznie działać. Jeśli pobieranie będzie trwać dalej, wyłącznika nie ma albo jest wyłączony.
Dłuższy zestaw testów oraz informacje o tym, co każdy z nich może, a czego nie może wykazać, znajduje się w osobnym poradniku.
Co potwierdzają te testy
+Każde urządzenie w tej sieci wychodzi przez serwer wyjściowy w wybranym kraju, bez instalowania na nim czegokolwiek
+Dostawca internetu widzi jedno zaszyfrowane połączenie z domu i żadnych wyszukiwań adresów
+Przy niedziałającym tunelu połączenie całego domu zostaje zablokowane, jeśli oprogramowanie sprzętowe ma wyłącznik
Czego nie potwierdzają
−Nie mówią nic o tym, co dostawca przechowuje — to kwestia dokumentów, na którą odpowiadają strony o retencji
−Nie zapewniają nikomu anonimowości: każde konto na każdym urządzeniu nadal jest zalogowane; zobacz przed czym VPN nie chroni
−Udany test na jednym urządzeniu nic nie mówi o urządzeniu w innej sieci ani o urządzeniu z własną aplikacją
Jeden dom, dwie sieci
Problem z tunelem na routerze zawsze wygląda tak samo: coś musi znajdować się poza nim. Najlepszym rozwiązaniem są dwie sieci zamiast jednej z wyjątkami. Można użyć drugiego routera za pierwszym, z uruchomionym tunelem, tak aby urządzenia, które powinny znajdować się wewnątrz tunelu, korzystały z jego Wi-Fi, a cała reszta z Wi-Fi pierwszego routera; albo, jeśli oprogramowanie sprzętowe pozwala ustawić VPN dla każdej sieci, użyć sieci gościnnej lub dodatkowej, która będzie siecią z tunelem. Urządzenie wybiera wtedy sieć, do której się dołącza: telewizor pozostaje wewnątrz, konsola na zewnątrz, a nikt nie wyłącza tunelu w całym domu.
Drugi router rozwiązuje także kwestię prędkości: obsługuje tylko urządzenia, które potrzebują tunelu, więc jego procesor ogranicza wyłącznie ich prędkość.
Gdy to nie działa
Wszystko w domu działa wolniej
Router szyfruje teraz każdy bajt wysyłany przez dom, korzystając z procesora zaprojektowanego do przekazywania pakietów, a nie do ich szyfrowania. To ograniczenie wynika z routera, nie z dostawcy, i pojawia się znacznie wcześniej niż przy korzystaniu z laptopa w ramach tej samej subskrypcji.
Nowszy protokół jest znacznie mniej obciążający niż starszy, więc używaj go tam, gdzie oferuje go oprogramowanie sprzętowe. Poza tym rozwiązaniem pozostaje szybszy router albo tunel na mniejszej liczbie urządzeń — zobacz ostatnią sekcję.
Jedno urządzenie musi znajdować się poza tunelem
Aplikacja bankowa, która odrzuca zagraniczny adres, konsola do gier, inteligentny głośnik — zawsze znajdzie się coś takiego. Niektóre wersje oprogramowania sprzętowego pozwalają wykluczyć urządzenie po adresie, co jest tunelowaniem dzielonym na poziomie routera. Jeśli oprogramowanie sprzętowe na to nie pozwala, rozwiązaniem jest ostatnia sekcja: druga sieć dla tunelu, dzięki czemu urządzenie po prostu dołącza do tej drugiej.
Nie wyłączaj tunelu w całym domu tylko po to, aby obsłużyć jedno urządzenie.
Tunel się zrywa i nic nie łączy się ponownie
Większość wersji oprogramowania sprzętowego łączy ponownie automatycznie; niektóre robią to dopiero po wydaniu polecenia. Na stronie klienta VPN poszukaj ustawienia podtrzymywania połączenia, automatycznego ponownego łączenia albo watchdoga i włącz je. Jeśli oprogramowanie sprzętowe ma wyłącznik awaryjny i jest on włączony, zerwanie tunelu odłącza cały dom do czasu ponownego połączenia — oznacza to, że wyłącznik działa.
Jeśli tunel zrywa się codziennie o tej samej porze, dostawca internetu odnawia twój adres, a router z opóźnieniem to zauważa. Pomóc może krótszy interwał podtrzymywania połączenia.
Na niektórych urządzeniach strony pokazują mój prawdziwy kraj, a na innych nie
Te urządzenia nie korzystają z tunelu routera: telefon używający transmisji danych, urządzenie z własną aplikacją VPN albo urządzenie w drugiej sieci, której tunel nie obejmuje. Sprawdź, z której sieci korzysta każde z nich.
Jeśli urządzenie znajduje się w sieci objętej tunelem, a mimo to pokazuje twój prawdziwy kraj, jego DNS lub IPv6 dociera do internetu z pominięciem routera. Sekcja poświęcona testom wyjaśnia, jak to rozpoznać.
Te same kroki, inne systemy
Pozostałe platformy
Każda platforma ma własny poradnik, a nie zakładkę w tym jednym. Kroki rozjeżdżają się już od momentu otwarcia instalatora, a strona odpowiadająca na trzy platformy naraz nie odpowiada porządnie na żadną z nich.