Ce este VPN Passthrough și cum funcționează?

De ce au nevoie unele routere de VPN Passthrough?

Routerele se împart în două tipuri principale, cele care acceptă nativ o conexiune VPN și cele care nu o fac.

Routerele care acceptă nativ o conexiune VPN vor suporta tehnologii precum IPsec (Securitatea Protocolului Internet), PPTP (Protocolul de Tunelare Punct-la-Punct), sau L2TP (Protocolul de Tunelare de Nivelul Doi).

Puteți configura acest router pentru a funcționa ca un server VPN sau pentru a crea un VPN de la site la site cu o altă poartă de intrare VPN.

Designul unor routere nu suportă utilizarea lor ca servere VPN. Acestea nu suportă nativ acest tip de tehnologie și, prin urmare, blochează traficul VPN. Pentru a utiliza un VPN, trebuie să găsiți o soluție pentru această limitare.

Puteți face acest lucru cu funcția VPN passthrough. Când este activată, traficul de la clientul VPN va trece prin internet și va ajunge la poarta de intrare VPN.

Funcția VPN passthrough este disponibilă pe multe routere casnice, iar cele care o au sunt acceptate pe scară largă ca standard pentru că suportă atât PPTP cât și VPN-urile IPsec.

Cu alte cuvinte, această funcție va permite calculatoarelor de pe o rețea privată să stabilească VPN-uri de ieșire. Nu afectează sau nu împiedică în niciun fel funcționarea corectă a oricăror conexiuni VPN de intrare.

Numele vine de la această funcție care permite traficului VPN să treacă prin router. Nu trebuie să deschideți niciun port pentru a face acest lucru. Procesul este complet automat.

Care este diferența dintre un VPN și un VPN Passthrough?

Această funcție este prezentă în principal în dispozitivele de intrare pe internet pentru întreprinderile mici și routerele VPN pentru consumatori. Aceste dispozitive vor funcționa cu protocoale VPN precum IPsec, PPTP, L2TP sau chiar tehnologia VPN SSL (Secure Sockets Layer).

Acest lucru înseamnă că vor putea să se conecteze la un server central sau la poarta de intrare VPN fără a avea un client VPN prezent. Acest tip de client nu este compatibil cu un astfel de router, și veți pierde doar timp încercând să le combinați.

Dispozitivele de rețea pentru întreprinderi mici care suportă funcția VPN passthrough vor permite pachetelor de date de la clientul VPN să fie criptate cu tehnologia VPN și să ajungă pe internet.

De ce ai nevoie de VPN Passthrough?

Majoritatea routerelor de pe piață vin cu un VPN passthrough încorporat. Acesta este necesar pentru a utiliza un VPN care folosește protocoalele IPsec sau PPTP.

Totuși, înlocuirea acestor protocoale de securitate cu protocoale mai rapide și mai sigure, precum OpenVPN și IKEv2/IPsec, a făcut această funcție redundantă.

Protocoalele VPN sunt incompatibile în mod nativ cu tehnologiile NAT (Network Address Translation) și PAT (Port Address Translation).

Această incompatibilitate este o problemă dacă folosești dispozitive rețea bazate pe aceste tehnologii pentru a împărți aceeași conexiune la internet între mai multe calculatoare.

Acest scenariu are două soluții posibile: un passthrough PPTP sau un passthrough IPsec.

PPTP passthrough și cum funcționează

Cele mai multe routere se conectează la internet folosind un protocol NAT incompatibil cu PPTP. Passthrough-ul PPTP ocolește această problemă, permițând conexiunilor VPN să traverseze fundalul NAT. Cu toate acestea, NAT necesită utilizarea porturilor pentru a funcționa corect.

PPTP folosește canalul TCP (Transmission Control Protocol) pe portul 1723 pentru control și protocolul GRE (Generic Routing Encapsulation) pentru a aduna datele și a crea tunelul VPN, ceea ce se întâmplă fără utilizarea oricăror porturi.

GRE nativ al PPTP nu are nevoie de niciun port pentru a stabili tunelul VPN. Deoarece NAT necesită o adresă IP validă și un număr de port, există un conflict.

Funcția PPTP passthrough funcționează prin reconfigurarea funcției GRE și îmbunătățirea câtorva dintre serviciile sale. Cel mai important, adaugă ID-ul de apel.

Când un client PPTP se conectează la un server, acesta creează un ID de apel unic pe care îl introduce în header-ul modificat. Acest ID de apel este apoi disponibil ca înlocuitor pentru porturi în traducerea NAT.

ID-urile de apel sunt folosite pe scară largă în maparea porturilor PPTP pentru a identifica în mod unic clienții PPTP care utilizează NAT.

Se presupune în mod nativ că acesta acționează ca un înlocuitor doar pentru traficul PPTP, dar este o procedură non-standard care nu este recunoscută automat de către router.

Funcția PPTP passthrough permite PPTP-ului să treacă prin routerul NAT. Acesta forțează routerul să treacă de la portul standard la cel indicat de ID-ul de apel atunci când întâlnește orice trafic PPTP.

Această funcție permite clienților VPN să facă conexiuni PPTP de ieșire ca rezultat.

IPsec passthrough și cum funcționează

Passthrough-ul IPsec funcționează folosind un NAT-T, translatorul de adrese de rețea. Implementarea acestei proceduri de rețea va stabili și menține în siguranță conexiunile IP peste gateway-uri care necesită NAT.

VPN-urile IPsec trebuie să utilizeze NAT-T pentru a funcționa corect cu protocolul NAT. Altfel, traficul nu va fi criptat, și nu se va crea niciun tunel VPN.

NAT-T încapsulează payload-ul de securitate într-un pachet UDP (User Datagram Protocol), pe care NAT îl recunoaște.

Procesul este mult mai eficient deoarece baza IPsec este reprezentată de protocoale care trebuie să fie complet activate pentru a traversa firewall-uri și translatorii de adrese de rețea:

• Internet Key Exchange (IKE) – portul User Datagram Protocol (UDP) 500
• IPsec NAT traversal – portul UDP 4500, atunci când funcționează traversarea NAT
• Encapsulating Security Payload (ESP) – numărul de protocol IP 50
• Authentication Header (AH) – numărul de protocol IP 51

Multe routere au caracteristici specifice încorporate în programul lor, numit passthrough IPsec. Toate versiunile suportate de Microsoft Windows au traversarea NAT activată în mod implicit, așa că nu trebuie să schimbi nicio setare.

Ar trebui să dezactivez VPN Passthrough?

Ar trebui să dezactivezi VPN passthrough doar atunci când acest lucru îmbunătățește securitatea generală. Porturile de comunicare prin firewall care sunt altfel deschise și accesibile vor fi acum blocate.

Cu toate acestea, acest lucru înseamnă că orice utilizator din spatele gateway-ului va fi incapabil să creeze și să mențină o conexiune VPN. Această restricție va rezulta din blocarea porturilor VPN la nivelul firewall-ului.

Utilizatorii de VPN de pe o rețea SOHO (Small Office Home Office) nu ar trebui să blocheze aceste porturi.

Concluzie

Un VPN passthrough este necesar dacă ai nevoie să folosești un protocol VPN mai vechi care nu este suportat de routerul pe care îl folosești pentru a te conecta la rețeaua ta sau la internet.

Dacă folosești tehnologie moștenită, aceasta este o funcție pe care s-ar putea să ai nevoie să o activezi, dar șansele sunt în zilele noastre că este doar de interes istoric.

Routere care suportă VPN Passthrough

Cel mai fiabil și eficient router în acest caz, care a devenit standardul pentru VPN passthrough, este routerul wireless Netgear WGR614. Acesta suportă nu mai puțin de trei conexiuni VPN simultane.

Apoi, avem Netgear FWAG114 ProSafe. Deși este puțin mai scump decât cel anterior, acesta de asemenea suportă VPN-uri de la un capăt la altul, mai bine cunoscute sub numele de VPN-uri site-to-site.

La final, poți vedea că procedura VPN passthrough are multe avantaje și aproape niciun dezavantaj. Îți permite eficient să folosești VPN-uri cu aproape toate routerele prin depășirea setărilor lor de sistem implicite.

Acum știi ce să faci când routerul tău nu se poate conecta la un VPN. Efectuează VPN passthrough IPSec sau PPTP, în funcție de routerul în sine, și întâmpină aerul proaspăt al confidențialității.