Funkce VPN(nové okno) passthrough je funkce routeru, která umožňuje síťovému provozu VPN procházet přes Váš firewall a překlad síťových adres (NAT)(nové okno). Sama o sobě připojení VPN nevytváří, ale zajišťuje, aby Váš router neblokoval zařízení ve Vaší síti v připojení k externí VPN.

Pro většinu firem se nejedná o něco, co byste museli konfigurovat nebo o čem byste museli přemýšlet. Důvěryhodné VPN, jako je Proton VPN, jsou navrženy tak, aby ve výchozím nastavení spolupracovaly s NAT, takže routery zpracovávají síťový provoz automaticky bez nutnosti jakýchkoli speciálních pravidel.

Proč existuje VPN passthrough?

VPN passthrough řeší problémy s kompatibilitou mezi staršími protokoly VPN a novější síťovou infrastrukturou. Většina sítí používá NAT, aby umožnila více zařízením sdílet jednu veřejnou IP adresu. I když to pro běžný síťový provoz funguje, některé starší VPN nebyly navrženy s ohledem na NAT.

Protože starší protokoly VPN ne vždy používají standardní porty nebo struktury, které dokáže NAT interpretovat, router nemůže sledovat, kam data patří, a připojení selže. VPN passthrough funguje jako řešení, které routeru pomáhá rozpoznat a správně směrovat tento typ síťového provozu.

Jak VPN passthrough funguje?

VPN passthrough je sada mechanismů zabudovaných do routerů pro podporu specifických protokolů VPN. Když je aktivován, router:

  • Identifikuje síťový provoz VPN pomocí specifických protokolů nebo portů
  • Použije speciální pravidla pro zpracování, aby nedocházelo k zahazování šifrovaných paketů
  • Umožňuje správné procházení připojení přes NAT

Bez VPN passthrough může router síťový provoz blokovat nebo nesprávně směrovat, což zabrání připojení VPN.

Typy VPN passthrough

Různé VPN zpracovávají data odlišně, takže neexistuje jediný typ passthrough. Pokud pracujete se staršími systémy, můžete se setkat s různými typy VPN passthrough v závislosti na použitém protokolu.

PPTP passthrough

Protokol PPTP (Point-to-Point Tunneling Protocol) je jedním z nejstarších typů VPN. K odesílání a přijímání dat využívá protokol s názvem GRE (Generic Routing Encapsulation). NAT však k nasměrování síťového provozu vyžaduje číslo portu a GRE porty nepoužívá, což vytváří konflikt, který způsobuje výpadek připojení.

PPTP passthrough to řeší přidáním identifikátoru Call ID k datům. Router s tímto ID zachází jako s číslem portu, což umožňuje správný průchod síťového provozu firewallem.

L2TP passthrough

Protokol L2TP (Layer 2 Tunneling Protocol) funguje podobně jako PPTP. K překonání překážky v podobě NAT přiřazuje L2TP passthrough datovým paketům Session ID. Toto ID slouží jako náhrada čísla portu a umožňuje routeru identifikovat a směrovat síťový provoz do správného zařízení.

IPSec passthrough

IPSec (Internet Protocol Security) využívá k procházení routery technologii zvanou NAT Traversal (NAT-T). Šifrovaná data IPSec balí do standardního paketu UDP.

Protože routery již vědí, jak s pakety UDP zacházet, může IPSec passthrough navázat připojení pomocí specifického portu (UDP 4500). To umožňuje routeru správně mapovat a směrovat připojení a zároveň udržovat šifrovaná data v bezpečí a nedotčená.

Jaký je rozdíl mezi VPN a VPN passthrough?

VPN je služba, která chrání vaše data. Šifruje váš internetový síťový provoz a maskuje vaši IP adresu tím, že vaše připojení směruje přes zabezpečený vzdálený server.

VPN passthrough je funkce na vašem routeru. Sama o sobě nešifruje vaše data, neskrývá vaši IP adresu(nové okno) ani neposkytuje žádné zabezpečení. Jejím jediným úkolem je rozpoznat síťový provoz VPN a umožnit mu projít firewallem routeru.

Pokud používáte kvalitní VPN, obecně se nemusíte o nastavení passthrough vůbec starat, protože router to vyřeší automaticky.

VPN passthrough vs. VPN router

Tyto dva pojmy se často zaměňují, ale slouží k velmi odlišným účelům:

  • VPN router aktivně šifruje a směruje síťový provoz pro každé k němu připojené zařízení.
  • VPN passthrough umožňuje jednotlivému zařízení ve vaší síti připojit se k externí VPN.

Potřebují VPN passthrough?

Ve většině případů zní odpověď ne. Protokoly VPN jsou vytvořeny tak, aby automaticky spolupracovaly s NAT. Protokoly jako WireGuard(nové okno), OpenVPN(nové okno) a IKEv2(nové okno) jsou navrženy tak, aby umožnily routerům sledovat připojení a odesílat data do správného zařízení bez jakéhokoli ručního nastavení nebo speciálních pravidel.

Proton VPN spoléhá výhradně na zabezpečené protokoly, takže je ve výchozím nastavení kompatibilní se standardními konfiguracemi routerů.

  • Žádná ruční konfigurace: Abyste se připojili, nemusíte ve firmwaru routeru měnit žádná pokročilá nastavení.
  • Automatická kompatibilita: Proton VPN funguje s téměř veškerým domácím i kancelářským síťovým vybavením ihned po vybalení.
  • Lepší zabezpečení: Vyhnutím se starším mechanismům passthrough se vyhnete také bezpečnostním zranitelnostem spojeným se staršími protokoly, jako je PPTP.

Pokud nepoužíváte extrémně starý hardware nebo vysoce restriktivní firemní firewall, můžete se k Proton VPN připojit, aniž byste kdy museli upravovat nastavení passthrough.

Potřebujete VPN passthrough?

O VPN passthrough možná budete muset přemýšlet pouze v případě, že:

  • Používáte starší protokoly VPN, jako je PPTP nebo L2TP
  • Spoléháte na starší síťové vybavení
  • Spravujete specializované nebo průmyslové systémy se zastaralým softwarem

V opačném případě tuto kompatibilitu ve výchozím nastavení vyřeší klienti VPN, jako je Proton VPN.

Představuje VPN passthrough nějaká bezpečnostní rizika?

Většina obav o bezpečnost pramení ze skutečnosti, že VPN passthrough je navržen tak, aby pomáhal starším, méně bezpečným protokolům obcházet standardní ochranu routeru.

  • Spoléhání na slabé protokoly: VPN passthrough se nejčastěji používá pro starší protokoly, jako je PPTP, které již nejsou považovány za bezpečné a mohou být snadno zneužity kybernetickými útoky.
  • Slepá místa firewallu: Váš firewall nemusí kontrolovat data procházející dovnitř a ven z připojení. Pokud je samotný protokol VPN slabý, vytváří to cestu pro škodlivý síťový provoz, který může do vaší sítě proniknout neodhalen.
  • Větší plocha pro útok: Aktivace VPN passthrough často vyžaduje otevření konkrétních komunikačních portů na vašem routeru. Každý otevřený port je potenciálním vstupním bodem, který mohou útočníci vyhledat a pokusit se jej zneužít.

Osvědčené postupy pro bezpečné nastavení VPN passthrough

Pro většinu firem i jednotlivců je nejlepší bezpečnostní strategií se potřebě VPN passthrough zcela vyhnout. Pokud jej přesto musíte použít, postupujte podle těchto kroků, abyste udrželi svou síť v bezpečí:

  • Upřednostňujte aktuální protokoly: Používejte VPN, které podporují WireGuard nebo OpenVPN, jež jsou pro Proton VPN standardem. Ty jsou navrženy tak, aby fungovaly s routery a NAT bez nutnosti VPN passthrough.
  • Deaktivujte to, co nepoužíváte: Pokud má váš router ve výchozím nastavení aktivován VPN passthrough, ale používáte službu jako Proton VPN, měli byste jej vypnout. Snížením počtu aktivních funkcí na routeru zmenšíte plochu pro útok.
  • Pravidelně provádějte audit nastavení svého routeru: Je snadné aktivovat nějaké nastavení pro jednorázovou opravu a pak na něj zapomenout. Pravidelně kontrolujte firmware svého routeru, abyste se ujistili, že nenecháváte nezabezpečené položky pro původní protokoly, které již nepoužíváte.
  • Udržujte hardware aktualizovaný: Zajistěte, aby byl firmware vašeho routeru aktuální. Výrobci často vydávají aktualizace, které opravují zranitelnosti související s tím, jak router zpracovává šifrovaný síťový provoz a správu portů.

V konečném důsledku byste měli VPN passthrough považovat za poslední možnost pro původní systémy. Pokud to vaše infrastruktura umožňuje, přechod na moderní instalaci VPN je nejúčinnějším způsobem, jak tato rizika eliminovat.

Sečteno a podtrženo

VPN passthrough je řešením problému s kompatibilitou mezi staršími protokoly VPN a novějšími sítěmi. Dnes je již do značné míry zbytečný.

Většina protokolů VPN, jako jsou ty, které používá Proton VPN, je navržena tak, aby bezproblémově fungovala s NAT. Díky tomu je VPN passthrough něčím, co většina firem nebude muset nikdy konfigurovat. Pokud zjistíte, že se na passthrough stále spoléháte, může to být znamení, že vaše instalace VPN nebo síťová infrastruktura potřebuje aktualizovat.