Пропускной режим VPN(новое окно) (VPN passthrough) — это функция маршрутизатора, которая позволяет VPN-трафику проходить через ваш брандмауэр и преобразование сетевых адресов (NAT)(новое окно). Он сам по себе не создает VPN-подключение, но гарантирует, что ваш маршрутизатор не заблокирует устройство в вашей сети при подключении к внешнему VPN.

Большинству компаний не нужно настраивать этот параметр или задумываться о нем. Доверенные VPN, такие как Proton VPN, по умолчанию созданы для работы с NAT, поэтому маршрутизаторы автоматически обрабатывают трафик без необходимости создавать какие-либо специальные правила.

Зачем нужен VPN passthrough?

VPN passthrough решает проблемы совместимости между устаревшими протоколами VPN и более новой сетевой инфраструктурой. Большинство сетей используют NAT, чтобы несколько устройств могли совместно использовать один публичный IP-адрес. Хотя это работает для обычного трафика, некоторые старые VPN не были рассчитаны на работу с NAT.

Поскольку устаревшие протоколы VPN не всегда используют стандартные порты или структуры, которые NAT может интерпретировать, маршрутизатор не может отследить, кому принадлежат данные, и установить подключение не удается. VPN passthrough служит обходным решением, которое помогает маршрутизатору распознавать и правильно маршрутизировать этот тип трафика.

Как работает VPN passthrough?

VPN passthrough — это набор механизмов, встроенных в маршрутизаторы для поддержки определенных протоколов VPN. Когда эта функция включена, маршрутизатор:

  • Идентифицирует VPN-трафик, используя определенные протоколы или порты
  • Применяет специальные правила обработки, чтобы зашифрованные пакеты не отбрасывались
  • Позволяет подключению правильно проходить через NAT

Без VPN passthrough маршрутизатор может заблокировать или неправильно маршрутизировать трафик, препятствуя подключению VPN.

Типы VPN passthrough

Разные VPN обрабатывают данные по-разному, поэтому единого типа passthrough не существует. Если вы работаете с устаревшими системами, вы можете столкнуться с различными типами VPN passthrough в зависимости от используемого протокола.

PPTP passthrough

Протокол туннелирования «точка-точка» (PPTP) — один из старейших типов VPN. Для отправки и получения данных он использует протокол Generic Routing Encapsulation (GRE). Однако для направления трафика NAT требуется номер порта, а GRE не использует порты, что создает конфликт, приводящий к разрыву подключения.

PPTP passthrough решает эту проблему, добавляя Call ID к данным. Маршрутизатор обрабатывает этот идентификатор как номер порта, что позволяет трафику правильно проходить через брандмауэр.

L2TP passthrough

Протокол туннелирования второго уровня (L2TP) работает аналогично PPTP. Чтобы обойти ограничения NAT, L2TP passthrough присваивает пакетам данных Session ID (идентификатор сеанса). Этот идентификатор заменяет номер порта, позволяя маршрутизатору идентифицировать и направлять трафик на нужное устройство.

IPSec passthrough

IPSec (Internet Protocol Security) использует технологию NAT Traversal (NAT-T) для прохождения через маршрутизаторы. Она упаковывает зашифрованные данные IPSec в стандартный UDP-пакет.

Поскольку маршрутизаторы уже умеют обрабатывать UDP-пакеты, IPSec passthrough может устанавливать подключение через определенный порт (UDP 4500). Это позволяет маршрутизатору правильно сопоставлять и направлять подключение, сохраняя зашифрованные данные в безопасности и без изменений.

В чем разница между VPN и VPN passthrough?

VPN — это служба, которая защищает ваши данные. Она шифрует ваш интернет-трафик и маскирует IP-адрес, направляя подключение через безопасный удаленный сервер.

VPN passthrough — это функция вашего маршрутизатора. Сама по себе она не шифрует данные, не скрывает IP-адрес(новое окно) и не обеспечивает безопасность. Ее единственная задача — распознавать VPN-трафик и пропускать его через брандмауэр маршрутизатора.

Если вы используете качественный VPN, вам вообще не нужно беспокоиться о настройках passthrough, так как маршрутизатор обработает все автоматически.

VPN passthrough против VPN-маршрутизатора

Их часто путают, но они служат совершенно разным целям:

  • VPN-маршрутизатор активно шифрует и маршрутизирует трафик для каждого подключенного к нему устройства.
  • VPN passthrough позволяет отдельному устройству в вашей сети подключаться к внешнему VPN.

Нужен ли VPN passthrough?

В большинстве случаев ответ — нет. Протоколы VPN созданы для автоматической работы с NAT. Такие протоколы, как WireGuard(новое окно), OpenVPN(новое окно) и IKEv2(новое окно), разработаны таким образом, чтобы маршрутизаторы могли отслеживать подключения и отправлять данные на нужное устройство без какой-либо ручной настройки или специальных правил.

Proton VPN опирается исключительно на безопасные протоколы, поэтому он по умолчанию совместим со стандартными конфигурациями маршрутизаторов.

  • Без ручной конфигурации: вам не нужно менять какие-либо дополнительные настройки в прошивке маршрутизатора, чтобы подключиться.
  • Автоматическая совместимость: Proton VPN работает практически со всем домашним и офисным сетевым оборудованием прямо из коробки.
  • Повышенная безопасность: избегая устаревших механизмов passthrough, вы также избегаете уязвимостей безопасности, связанных с устаревшими протоколами, такими как PPTP.

Если вы не используете крайне устаревшее оборудование или корпоративный брандмауэр со строгими ограничениями, вы можете подключиться к Proton VPN без необходимости изменять настройки passthrough.

Нужен ли вам VPN passthrough?

Вам может потребоваться задуматься о VPN passthrough, только если:

  • Вы используете устаревшие протоколы VPN, такие как PPTP или L2TP
  • Вы используете устаревшее сетевое оборудование
  • Вы управляете специализированными или промышленными системами с устаревшим программным обеспечением

В противном случае VPN-клиенты, такие как Proton VPN, будут обеспечивать эту совместимость по умолчанию.

Существуют ли риски безопасности при использовании VPN passthrough?

Большинство проблем с безопасностью связано с тем, что VPN passthrough разработан для того, чтобы помочь старым, менее безопасным протоколам обходить стандартную защиту маршрутизатора.

  • Зависимость от слабых протоколов: VPN passthrough чаще всего используется для устаревших протоколов, таких как PPTP, которые больше не считаются безопасными и могут быть легко использованы злоумышленниками при кибератаках.
  • Слепые зоны брандмауэра: ваш брандмауэр может не проверять данные, передаваемые через подключение. Если сам протокол VPN слаб, это создает путь для незаметного проникновения вредоносного трафика в вашу сеть.
  • Увеличение поверхности атаки: включение VPN passthrough часто требует открытия определенных портов связи на маршрутизаторе. Каждый открытый порт — это потенциальная точка входа, которую злоумышленники могут просканировать и попытаться использовать для атаки.

Рекомендации по безопасной настройке VPN passthrough

Для большинства компаний и частных лиц лучшая стратегия безопасности — полностью избегать необходимости использования VPN passthrough. Если вам все же приходится его использовать, выполните следующие шаги, чтобы обезопасить свою сеть:

  • Отдавайте приоритет современным протоколам: используйте VPN с поддержкой WireGuard или OpenVPN, которые являются стандартными для Proton VPN. Они разработаны для работы с маршрутизаторами и NAT без необходимости использования VPN passthrough.
  • Отключайте то, что не используете: если на вашем маршрутизаторе по умолчанию включен VPN passthrough, но вы используете такую службу, как Proton VPN, вам следует отключить его. Сокращение числа активных функций на маршрутизаторе уменьшает поверхность атаки.
  • Регулярно проверяйте настройки маршрутизатора: легко включить настройку для разового решения проблемы и забыть о ней. Регулярно проверяйте прошивку маршрутизатора, чтобы убедиться, что вы не оставляете незащищенные записи для устаревших протоколов, которые больше не используете.
  • Следите за тем, чтобы аппаратное обеспечение было обновлено: убедитесь, что прошивку вашего маршрутизатора обновили до актуальной версии. Производители часто выпускают обновления, устраняющие уязвимости, связанные с тем, как маршрутизатор обрабатывает зашифрованный трафик и управляет портами.

В конечном счете, вам следует рассматривать VPN passthrough как крайнюю меру для устаревших систем. Если ваша инфраструктура позволяет, переход на современную настройку VPN — самый эффективный способ устранить эти риски.

Итог

VPN passthrough — это решение проблемы совместимости между более старыми протоколами VPN и новыми сетями. Сегодня в нем практически нет необходимости.

Большинство протоколов VPN, например те, которые используются в Proton VPN, созданы для беспроблемной работы с NAT. Благодаря этому большинству компаний никогда не потребуется настраивать VPN passthrough. Если вы обнаружите, что все еще полагаетесь на passthrough, это может быть признаком того, что вашу настройку VPN или сетевую инфраструктуру необходимо обновить.