Что такое VPN Passthrough и Как Это Работает?

Зачем Некоторым Роутерам Нужен VPN Passthrough?

Роутеры бывают двух основных типов: те, которые изначально поддерживают VPN-соединение, и те, которые этого не делают.

Роутеры, которые изначально поддерживают VPN, работают с технологиями типа IPsec (Internet Protocol Security), PPTP (Point-to-Point Tunneling Protocol) или L2TP (Layer Two Tunneling Protocol).

Этот роутер можно настроить как VPN-сервер или создать межсетевой VPN-туннель с другим VPN-шлюзом.

Некоторые роутеры не предназначены для использования в качестве VPN-серверов. Они изначально не поддерживают такие технологии и блокируют VPN-трафик. Чтобы обойти это ограничение, приходится изворачиваться.

А вот тут-то и пригождается функция VPN Passthrough. Когда она активирована, трафик от VPN-клиента проходит через интернет и достигает VPN-шлюза.

Эта функция доступна на многих домашних роутерах, и те, на которых она есть, считаются стандартом, потому что поддерживают как PPTP, так и IPsec VPN.

Другими словами, эта функция позволяет компьютерам в частной сети устанавливать исходящие VPN-соединения. При этом она никак не мешает или не нарушает правильную работу входящих VPN-соединений.

Название функции говорит само за себя: она позволяет VPN-трафику «проходить» через роутер. И для этого не нужно открывать никакие порты. Весь процесс происходит автоматически.

В чём разница между VPN и VPN Passthrough?

Эта функция преимущественно присутствует в интернет-шлюзах для малого бизнеса и потребительских VPN-роутерах. Эти устройства работают с VPN-протоколами типа IPsec, PPTP, L2TP или даже SSL (Secure Sockets Layer) VPN.

Это значит, что они могут подключаться к центральному серверу или VPN-шлюзу без VPN-клиента. Такой клиент несовместим с таким роутером, и пытаться совмещать их — это просто потеря времени.

Устройства для сетей малого бизнеса, поддерживающие функцию VPN Passthrough, позволят пакетам данных от VPN-клиента шифроваться VPN-технологией и выходить в интернет.

Зачем нужен VPN Passthrough?

Эта функция преимущественно присутствует в интернет-шлюзах для малого бизнеса и потребительских VPN-роутерах. Эти устройства работают с VPN-протоколами типа IPsec, PPTP, L2TP или даже SSL (Secure Sockets Layer) VPN.

Это значит, что они могут подключаться к центральному серверу или VPN-шлюзу без VPN-клиента. Такой клиент несовместим с таким роутером, и пытаться совмещать их — это просто потеря времени.

Устройства для сетей малого бизнеса, поддерживающие функцию VPN Passthrough, позволят пакетам данных от VPN-клиента шифроваться VPN-технологией и выходить в интернет.

Зачем нужен VPN Passthrough?

Большинство роутеров на рынке идут с встроенным VPN Passthrough. Он нужен для работы с VPN, использующими протоколы IPsec или PPTP.

Однако замена этих протоколов более быстрыми и безопасными, например, OpenVPN и IKEv2/IPsec, сделала эту функцию избыточной.

VPN-протоколы изначально несовместимы с технологиями NAT (Network Address Translation) и PAT (Port Address Translation).

Эта несовместимость становится проблемой, если вы используете сетевые устройства на основе этих технологий для совместного использования одного интернет-соединения несколькими компьютерами.

В этом сценарии есть два возможных решения: PPTP passthrough или IPsec passthrough.

Как работает PPTP passthrough

Большинство роутеров подключаются к интернету, используя протокол NAT, несовместимый с PPTP. PPTP passthrough обходит эту проблему, позволяя VPN-соединениям проходить на фоне NAT. Но для работы NAT требуется использование портов.

PPTP использует канал TCP (Transmission Control Protocol) на порту 1723 для управления и протокол GRE (Generic Routing Encapsulation) для сбора данных и создания VPN-туннеля, что происходит без использования портов.

Родной GRE в PPTP не требует портов для установления VPN-туннеля. Поскольку NAT требует действительного IP-адреса и номера порта, возникает конфликт.

Функция PPTP passthrough работает, перенастраивая функцию GRE и улучшая некоторые из её сервисов. Самое главное, она добавляет идентификатор вызова.

Когда клиент PPTP подключается к серверу, он создает уникальный идентификатор вызова, который вставляет в измененный заголовок. Этот идентификатор затем доступен в качестве замены для портов в NAT-трансляции.

Идентификаторы вызовов широко используются в отображении портов PPTP для уникальной идентификации клиентов PPTP, использующих NAT.

Она изначально должна действовать как замена только для трафика PPTP, но это нестандартная процедура, которую роутер автоматически не распознает.

Функция PPTP passthrough позволяет PPTP проходить через NAT-роутер. Она заставляет роутер переключиться с стандартного порта на тот, который указан идентификатором вызова, когда он сталкивается с любым трафиком PPTP.

Эта функция позволяет VPN-клиентам устанавливать исходящие соединения на базе PPTP.

Как работает IPsec passthrough

IPsec passthrough работает с использованием NAT-T, технологии преодоления сетевого адресного перевода. Реализация этой сетевой процедуры установит и безопасно поддержит IP-соединения через шлюзы, которые требуют NAT.

IPsec VPN-ам нужно использовать NAT-T для корректной работы с протоколом NAT. В противном случае трафик не будет зашифрован, и VPN-туннели не будут созданы.

NAT-T инкапсулирует защищенный полезный груз в пакет UDP (User Datagram Protocol), который распознает NAT.

Процесс намного эффективнее, потому что основа IPsec — это протоколы, которые должны быть полностью включены, чтобы проходить через межсетевые экраны и трансляторы сетевых адресов:

• Internet Key Exchange (IKE) – протокол User Datagram Protocol (UDP) на порту 500
• IPsec NAT traversal – UDP порт 4500, когда функционирует NAT traversal
• Encapsulating Security Payload (ESP) – IP-протокол номер 50
• Authentication Header (AH) – IP-протокол номер 51

Многие роутеры имеют специфические функции, встроенные в их программу, называемые IPsec passthrough. Во всех поддерживаемых версиях Microsoft Windows NAT traversal включен по умолчанию, так что вам ничего менять не нужно.

Следует ли отключать функцию VPN Passthrough?

Отключайте VPN Passthrough только в случае, если это улучшает общую безопасность. Сообщение через порты брандмауэра, которые обычно открыты и доступны, теперь будет заблокировано.

Однако это значит, что любой пользователь за шлюзом не сможет создать и поддерживать VPN-соединение. Это ограничение будет результатом блокировки VPN-портов на брандмауэре.

Пользователи VPN в сети SOHO (Small Office Home Office) не должны блокировать эти порты.

Заключение

Функция VPN Passthrough необходима, если вам нужно использовать устаревший VPN-протокол, не поддерживаемый роутером, к которому вы подключаетесь.

Если вы используете старые технологии, эта функция может быть вам необходима, но шансы велики, что сегодня она представляет лишь исторический интерес.

Роутеры, поддерживающие VPN Passthrough

Наиболее надежным и эффективным роутером в этом случае, ставшим стандартом для VPN Passthrough, является Netgear WGR614 Wireless Router. Он поддерживает не менее трех одновременных VPN-соединений.

Затем идет Netgear FWAG114 ProSafe. Хотя он немного дороже предыдущего, этот роутер также поддерживает VPN от начала и до конца, более известные как site-to-site VPNs.

В итоге можно сказать, что процедура VPN Passthrough имеет много преимуществ и практически не имеет недостатков. Эффективно позволяет использовать VPN практически со всеми роутерами, обходя их стандартные системные настройки.

Теперь вы знаете, что делать, если ваш роутер не может подключиться к VPN. Выполните IPSec или PPTP VPN Passthrough, в зависимости от самого роутера, и дышите свежим воздухом конфиденциальности.