Использование статической маршрутизации на маршрутизаторе для обхода динамического IP-адреса VPN?

Question

Я искал форумы, но так как работа в сети не является моей областью компетенции, я не знаю, был ли на это явный ответ, поэтому я надеюсь, что это не дубликат.

В настоящее время у меня есть маршрутизатор TL-WR841N, для которого настроен динамический IP-адрес WAN, предоставленный моим поставщиком VPN. В настоящее время IP-адрес, который я настроил в своем маршрутизаторе, позволяет использовать потоковую передачу из Netflix. Однако это мешает работе Amazon Prime Video.

Ранее я связался с TP-Link и спросил, есть ли способ разрешить определенным устройствам обходить VPN и вместо этого использовать мой реальный IP-адрес для доступа к потоковому контенту. В частности, я хотел сказать маршрутизатору, что все мои устройства, кроме игровых приставок, должны подключаться через VPN. Мне сказали, что это невозможно. Поэтому я провел небольшое исследование, и мой друг упомянул кое-что о статической маршрутизации, на которую мой маршрутизатор вполне способен.

Из того, что я понимаю, статическая маршрутизация позволила бы IP-адресам назначения обходить VPN, и если это так, это работало бы в моей ситуации, так как я просто хочу иметь возможность доступа ко всем потоковым медиафайлам, пока моя VPN активирована. Нужна ли мне статическая маршрутизация? Amazon публикует список своих IP-диапазонов, но их более 1000. Если статическая маршрутизация действительно является ответом, нужно ли добавлять регистр для всех опубликованных IP-адресов? Или есть лучший способ добиться того, что мне нужно?

Answer 1

TL-WR841 - это просто компьютер Linux с пользовательским интерфейсом, предоставленным TP-Link.

Если вы используете VPN на нем, он будет иметь два сетевых интерфейса (один для VPN, для WAN вашего провайдера). В Linux есть правила маршрутизации, которые могут решать, какой интерфейс использовать в соответствии с IP-адресом назначения (то, что вы называете "статической маршрутизацией"). В Linux также есть так называемая политика маршрутизации, где вы можете маршрутизировать на основе адреса источника.

Таким образом, если вы настраиваете свой маршрутизатор так, чтобы все ваши устройства всегда назначали один и тот же IP-адрес через DHCP (иногда называемый "статический DHCP"), вы можете использовать IP-адрес для идентификации устройства и маршрутизировать соответствующим образом.

Теперь вопрос в том, как это настроить. Если TP-Link сообщает, что вы не можете маршрутизировать по устройству, у них, вероятно, нет пользовательского интерфейса для маршрутизации политики. Если у вас есть пользовательский интерфейс для "статических маршрутов", вы, конечно, можете выполнять маршрутизацию по месту назначения.

Альтернативой является повторная прошивка маршрутизатора другой микропрограммой, например OpenWRT. Вы должны быть немного осторожнее, TL-WR841N основан на очень различном оборудовании в зависимости от версии, и для некоторых типов (в основном старое оборудование) это работает, для некоторых - нет.

Получив полный доступ к устройству, вы можете настроить все, что захотите, включая политику маршрутизации по адресу источника. Для этого вам нужно быть уверенным в командной строке Linux.

Существуют и другие варианты прошивки, такие как DD-WRT (на основе OpenWRT, те же аппаратные ограничения) с более удобным пользовательским интерфейсом. Вот вики-страница DD-WRT для политики маршрутизации. Если я правильно понимаю, у него есть некоторая поддержка пользовательского интерфейса, но вам все равно могут потребоваться сценарии для VPN (но я не делал этого на DD-WRT, поэтому моя интерпретация может быть неправильной).

Можно повторно прошить ваш роутер на оригинальную прошивку TP-Link (скачайте или сохраните ее перед первой прошивкой), чтобы вы могли поэкспериментировать.

редактировать

Для статической маршрутизации: я не знаю, как выглядит пользовательский интерфейс TP-Link, но в целом вам нужна коллекция IP-адресов назначения, например, все IP-адреса, связанные с Amazon Prime Video (в этом могут участвовать несколько серверов, и они могут загружать баланс, используя несколько IP-адресов). Это могут быть отдельные адреса, и в этом случае вам понадобится маска /32 соответственно. 255.255.255.255. Или это могут быть полные диапазоны IP-адресов, например диапазон публичных IP-адресов Amazon, и в этом случае вы можете сгруппировать их вместе с другой маской сети.

Шлюз (следующий переход) будет шлюзом для соединения, через которое вы хотите маршрутизировать, либо WAN, либо VPN. Поиск интерфейсов должен дать вам шлюз. При настройке соединения шлюз может измениться как для WAN, так и для VPN, поэтому может быть сложно назначить это статически.

Answer 2

В следующей статье подробно описана процедура достижения вашей цели с помощью стандартной прошивки:
Как положить свой PS3 или PS4 в DMZ.

Я резюмирую это ниже:

• Назначьте консоли статический IP-адрес в разделе «Настройки»> «Параметры сети». Этот адрес должен находиться в пределах вашей локальной сети, например, 192.168.0.X , но убедитесь, что он не входит в диапазон адресов DHCP.

• Войдите в свой маршрутизатор как администратор и найдите опцию DMZ . В качестве IP-адреса для вашей DMZ введите IP-адрес, который вы указали ранее.

• На консоли снова в разделе «Параметры сети» выберите « Проверка подключения к Интернету».
  В случае успеха ваш тип NAT может читать «2».

Это должно подключить вашу консоль напрямую к Интернету, фактически обходя VPN. Его успех зависит также от того, как ваш маршрутизатор обрабатывает VPN и DMZ, указанные одновременно.

Для более подробной информации, см. Выше статью.

Answer 3

Это неупорядоченный набор ответов:

Проблема у меня в том, что она допускает статическую маршрутизацию. Я просто не уверен, как правильно это настроить (например, какой IP-адрес назначения, что такое маска подсети и шлюзы?).

В пределах маршрута маска IP + назначения (или длина IP/ префикса) определяет, чего вы хотите достичь, конкретный адрес или диапазон. Шлюз определяет, как вы достигнете его, то есть "следующий переход" для передачи пакета.

У вашего роутера будет где-то страница, показывающая все активные маршруты (статические и динамические). Среди них вы увидите маршрут для 0.0.0.0/0 (маска 0.0.0.0), также известный как маршрут по умолчанию, потому что он соответствует любому адресу. Это маршрут, который ваш маршрутизатор обычно использует для доступа в Интернет, и его шлюз /nexthop будет некоторым адресом маршрутизатора, принадлежащим вашему провайдеру.

Запуск VPN-подключения добавит больше маршрутов - когда VPN предназначен для доступа в Интернет, он добавит второй маршрут 0.0.0.0/0, но на этот раз с адресом VPN-сервера в качестве шлюза (или вообще без адреса, просто имя интерфейса).

Если один и тот же пакет соответствует нескольким маршрутам, маршрут с самым длинным префиксом (или большинством битов "1" в маске сети) будет иметь наивысший приоритет. (Например, маршрут mask = 255.255.255.0 будет иметь приоритет над маршрутом mask = 0.0.0.0.) Если есть несколько маршрутов с одинаковым назначением + маска, приоритет устанавливается с помощью параметра "метрика".

Таким образом, пока VPN активен, у вас есть два маршрута по умолчанию для 0.0.0.0/0, но маршрут VPN имеет более высокий приоритет (более низкий показатель), так что весь доступ в Интернет будет проходить через VPN. Чтобы переопределить его для определенного пункта назначения, вы должны добавить новый маршрут с этим пунктом назначения, скопировав параметры шлюза из основного маршрута по умолчанию вашего провайдера.

В частности, я хотел сказать маршрутизатору, что все мои устройства, кроме игровых приставок, должны подключаться через VPN. Мне сказали, что это невозможно.

Это действительно невозможно при обычной маршрутизации IPv4.

(Хотя на Linux можно было бы с регулярной маршрутизации IPv6, в качестве маршрутов IPv6 может соответствовать также на источнике, а не только пункт назначения. К сожалению, это не реализовано для IPv4, и в любом случае вы не найдете его на экранах конфигурации TP-Link.)

Однако это возможно с помощью функции "маршрутизации политики", о которой упоминал @dirkt. Политика маршрутизации вставляет дополнительный шаг перед обычной маршрутизацией - она позволяет создавать несколько независимых таблиц маршрутизации и определять правила, когда использовать какую таблицу.

Например, вы можете определить, что пакеты с вашей игровой консоли будут использовать таблицу 1 (с маршрутом по умолчанию для обычного интернет-провайдера), а пакеты с других устройств будут использовать таблицу 2 (с маршрутом по умолчанию для VPN).

Amazon публикует список своих IP-диапазонов, но их более 1000. Если статическая маршрутизация действительно является ответом, нужно ли добавлять регистр для всех опубликованных IP-адресов?

При стандартной маршрутизации да, вам нужно будет перечислить все пункты назначения.

Политика маршрутизации меняет ситуацию, так как позволяет устройству принимать решения о маршрутизации на основе других параметров, таких как адрес источника или используемый протокол / порт.