Cách thiết lập VPN trên bộ định tuyến

Trước khi bắt đầu

Bộ định tuyến là nơi phù hợp để đặt đường hầm khi các thiết bị phía sau nó không thể tự chạy máy khách — chẳng hạn tivi, máy chơi game hoặc loa thông minh — hoặc khi mục tiêu là áp dụng cho mọi thiết bị cùng lúc mà không cần cài đặt gì. Đây là nơi không phù hợp khi cả nhà đôi lúc cần thoát khỏi đường hầm: phía sau một bộ định tuyến, không thiết bị nào làm được điều đó, và mọi thiết bị cùng chia sẻ một điểm thoát, một quốc gia và một bộ xử lý. Bộ xử lý đó giới hạn tốc độ và có hiệu năng thấp hơn nhiều so với máy tính xách tay. Nếu chỉ một hoặc hai thiết bị là lý do cần VPN, hãy cài máy khách trên chính các thiết bị đó; các trang nền tảng cho biết nhà cung cấp nào hỗ trợ nền tảng nào.

Hướng dẫn này không nạp lại firmware cho bộ định tuyến. Thay firmware bằng một trong những firmware bên thứ ba phổ biến có thể đem lại máy khách VPN tốt hơn hầu hết firmware gốc, nhưng đây cũng là bước duy nhất trong các hướng dẫn trên trang này có thể biến phần cứng thành một cục gạch. Nếu firmware của bộ định tuyến có trang máy khách VPN, các bước dưới đây là đủ. Nếu không, quyết định nạp lại firmware là của bạn, còn hướng dẫn là của dự án firmware, không phải của chúng tôi.

Nạp cấu hình

1. Đăng nhập vào trang web của nhà cung cấp và mở phần bộ định tuyến hoặc cấu hình thủ công trong khu vực tài khoản. Tạo tệp cấu hình cho giao thức mà firmware hỗ trợ và điểm thoát bạn muốn; mỗi tệp tương ứng với một điểm thoát. Tệp chứa khóa của bạn — hãy coi nó như mật khẩu.
2. Mở trang quản trị của bộ định tuyến từ một thiết bị trong mạng có dây hoặc mạng gia đình, rồi tìm trang máy khách VPN. Tên trang có thể khác nhau — VPN client, VPN Fusion, WAN › VPN — nhưng đó phải là trang máy khách, nơi kết nối ra ngoài, không phải trang máy chủ, nơi cho phép kết nối vào từ bên ngoài. Hai loại trang này trông giống nhau và chỉ một loại phù hợp với hướng dẫn này.
3. Nhập tệp hoặc dán lần lượt các trường của tệp vào nơi firmware yêu cầu. Đặt tên hồ sơ theo tên điểm thoát để sau này có thể phân biệt với hồ sơ thứ hai.
4. Chọn các thiết bị đi qua đường hầm nếu trang có tùy chọn này, và tạm thời chọn tất cả; danh sách ngoại lệ có thể tinh chỉnh sau. Sau đó kích hoạt hồ sơ.
5. Đừng dừng ở đây. DNS và công tắc ngắt kết nối nằm trên cùng trang hoặc trang kế tiếp, và mặc định cả hai đều tắt.

Các cài đặt đáng kiểm tra

Các trang firmware khác nhau, nhưng các cài đặt thì không. Nếu không quen với tên gọi, bạn có thể tìm mục tương ứng trong bảng thuật ngữ.

DNS cho cả nhà

Mỗi thiết bị phía sau bộ định tuyến hỏi bộ định tuyến xem các địa chỉ nằm ở đâu, còn bộ định tuyến hỏi máy chủ mà nó được chỉ định. Nếu đó là máy chủ phân giải của nhà cung cấp internet, mọi truy vấn trong nhà đều đi ra ngoài đường hầm. Điều này cho nhà cung cấp internet biết cả nhà truy cập những trang nào và chỉ che giấu những gì diễn ra sau đó. Đặt DNS của bộ định tuyến — trên trang máy khách VPN nếu trang có trường này, nếu không thì trên trang WAN — thành máy chủ phân giải được nêu trong tệp của nhà cung cấp, đồng thời đặt bộ định tuyến cấp chính địa chỉ của nó cho các thiết bị làm máy chủ phân giải, để không thiết bị nào được cấp máy chủ của nhà cung cấp internet. Cách rò rỉ xảy ra được giải thích trên trang rò rỉ DNS.

Công tắc ngắt kết nối

Trên bộ định tuyến, đây là một quy tắc tường lửa: khi đường hầm ngừng hoạt động, không dữ liệu nào từ các thiết bị đi qua đường hầm được phép rời mạng bằng tuyến thông thường. Một số firmware có công tắc dạng hộp kiểm, một số gọi nó là block routed clients if tunnel goes down, còn một số không có tính năng này. Nếu có, hãy bật nó; khi đường hầm bị ngắt, cả nhà sẽ mất kết nối cho đến khi kết nối lại, đó chính là mục đích của công tắc. Nếu không có, hãy hiểu rằng khi đường hầm bị ngắt, mọi thiết bị sẽ âm thầm quay lại kết nối thông thường. Công tắc này dùng để làm gì được giải thích trên trang riêng của nó.

IPv6

Hầu hết đường hầm trên bộ định tuyến chỉ truyền IPv4. Nếu nhà cung cấp internet cũng cấp IPv6 cho cả nhà, các thiết bị sẽ dùng IPv6 với mọi trang web hỗ trợ giao thức này, và lưu lượng đó đi vòng qua đường hầm. Trừ khi tệp của nhà cung cấp thiết lập IPv6 bên trong đường hầm, hãy tắt IPv6 ở phía WAN trong thời gian sử dụng đường hầm.

Giao thức

Hãy chọn giao thức hiện đại nếu firmware có hỗ trợ — trang giao thức liệt kê giao thức nào còn hiện hành và giao thức nào đã cũ — vừa vì lý do sổ đăng ký chấm điểm giao thức đó, vừa vì trên bộ xử lý của bộ định tuyến, nó nhanh hơn giao thức cũ nhiều lần. Một bộ định tuyến cũ chỉ cung cấp giao thức cũ sẽ vừa chậm vừa bị đánh dấu.

Xác nhận rằng nó thực sự hoạt động

Hãy kiểm tra từ một thiết bị phía sau bộ định tuyến, không phải từ trang trạng thái của chính bộ định tuyến, vì trang đó chỉ cho biết bộ định tuyến nghĩ gì. Thực hiện ba bước kiểm tra theo thứ tự này:

1. Địa chỉ đã thay đổi trên một thiết bị không có máy khách riêng. Mở bất kỳ trang nào kiểm tra “địa chỉ IP của tôi” trên máy tính xách tay hoặc điện thoại đang kết nối Wi-Fi của bộ định tuyến, đã tắt dữ liệu di động và không chạy ứng dụng VPN. Quốc gia hiển thị phải là điểm thoát bạn đã chọn.
2. Truy vấn nằm bên trong đường hầm. Chạy bài kiểm tra rò rỉ DNS trên cùng thiết bị. Nếu thấy bất cứ máy chủ nào thuộc nhà cung cấp internet, cài đặt DNS ở trên chưa có hiệu lực hoặc thiết bị đã được cấp sai máy chủ phân giải.
3. Công tắc ngắt kết nối hoạt động đúng như tên gọi. Khi đang tải xuống trên thiết bị đó, hãy tắt hồ sơ VPN trên trang của bộ định tuyến hoặc rút cáp WAN của bộ định tuyến trong chốc lát rồi cắm lại. Trong khoảng gián đoạn, lượt tải xuống phải dừng hẳn; khi kết nối trở lại, nó không được tiếp tục cho đến khi đường hầm hoạt động. Nếu lượt tải vẫn tiếp diễn, công tắc không tồn tại hoặc đang tắt.

Chuỗi kiểm tra đầy đủ hơn cùng những gì mỗi bước có thể và không thể cho biết được trình bày trong hướng dẫn riêng.

Một ngôi nhà, hai mạng

Phàn nàn về đường hầm trên bộ định tuyến luôn giống nhau: có thứ gì đó cần nằm bên ngoài đường hầm. Cách giải quyết rõ ràng là dùng hai mạng thay vì một mạng với các ngoại lệ. Có thể dùng một bộ định tuyến thứ hai phía sau bộ định tuyến đầu tiên, chạy đường hầm, để các thiết bị cần ở bên trong kết nối Wi-Fi của nó và mọi thiết bị khác kết nối Wi-Fi của bộ định tuyến đầu tiên; hoặc, nếu firmware cho phép dùng VPN riêng cho từng mạng, dùng một mạng khách hoặc mạng phụ làm mạng đi qua đường hầm. Khi đó, thiết bị lựa chọn dựa trên mạng mà nó tham gia: tivi ở bên trong, máy chơi game ở bên ngoài và không ai phải tắt đường hầm cho cả nhà.

Bộ định tuyến thứ hai cũng giải quyết vấn đề tốc độ: nó chỉ truyền dữ liệu cho các thiết bị cần đường hầm, nên bộ xử lý của nó chỉ giới hạn tốc độ của những thiết bị đó.