VPN روی روتر: یک‌بار تنظیم کنید — کل خانه کار می‌کند

اصلاً چرا وی‌پی‌ان روی روتر

دلیل اصلی دستگاه‌هایی هستند که نمی‌توان روی آن‌ها کلاینت نصب کرد. تلویزیون‌های سامسونگ با Tizen و ال‌جی با webOS، کنسول‌های بازی، بلندگوهای هوشمند، ست‌تاپ‌باکس‌های اپراتورها، چاپگرها و دوربین‌ها: هیچ‌کدام نه فروشگاه برنامه دارند و نه امکان افزودن کلید اتصال. روتر مسئله را به‌کلی برمی‌دارد، چون یک لایه پایین‌تر کار می‌کند — مسیر آماده را به دستگاه‌ها تحویل می‌دهد. دلیل دوم شمار تنظیمات است: به‌جای ده نصب، یک نصب انجام می‌دهید. سوم مهمان‌ها و دستگاه‌های موقتی هستند که فقط به شبکه شما وصل می‌شوند و همان دسترسی را می‌گیرند. سرانجام، روتر با یک اتصال به سرویس وصل می‌شود و اینکه چند دستگاه پشت آن نشسته باشد به شبکه خانگی شما مربوط است؛ سقف دستگاه‌ها را هم تعرفه تعیین می‌کند و در حساب کاربری دیده می‌شود. بهای این راحتی یک چیز است: همه‌چیز به یک دستگاه وابسته می‌شود و اگر آن دستگاه ضعیف باشد، همه آسیب می‌بینند.

کدام روترها اصولاً می‌توانند با VPN کار کنند

اینجا باید دو ادعای متفاوت را از هم جدا کرد. تقریباً هر روتر امروزی می‌تواند به شکلی اتصال VPN بالا بیاورد: در میان‌افزارهای کارخانه‌ای TP-Link، Xiaomi، Mercusys و مانند آن‌ها معمولاً PPTP، L2TP و گاهی OpenVPN یا WireGuard وجود دارد. اما این‌ها پروتکل‌های دیگری هستند، نه پروتکل‌های ما: RobinGood VPN با VLESS و ShadowSocks کار می‌کند، چون این‌ها معمولاً روش‌های امروزی فیلترینگ را بهتر تاب می‌آورند. پس روتر به پشتیبانی انتزاعی از VPN نیاز ندارد، بلکه باید بتواند کلاینتی بر پایه هسته XRay یا Mihomo را اجرا کند. چنین امکانی را میان‌افزارهایی می‌دهند که مدیر بسته دارند و حافظه‌شان کافی است. این واقعیتی درباره خود روترها و میان‌افزارهایشان است، نه ساخته ما: ما میان‌افزار منتشر نمی‌کنیم، ایمیج تحویل نمی‌دهیم و دستگاه آماده نمی‌فروشیم.

دستگاه چه باید بتواند: XRay یا Mihomo

ما کلید اتصال می‌دهیم، نه میان‌افزار، بنابراین پرسش سازگاری این‌گونه مطرح می‌شود: آیا میان‌افزار می‌تواند فرایندی را اجرا کند که VLESS یا ShadowSocks را بفهمد. با ShadowSocks کار ساده‌تر است — بسته‌های آن از دیرباز وجود دارند و در مخزن بسیاری از میان‌افزارها پیدا می‌شوند. با VLESS دشوارتر است: به XRay یا هسته‌ای سازگار مانند Mihomo نیاز دارید و این خودش یک فایل باینری جداگانه است که به فضای ذخیره‌سازی و حافظه اجرایی آزاد نیاز دارد. از اینجا یک قاعده عملی درمی‌آید: پیش از خرید روتر برای این کار، به شمار آنتن‌ها نگاه نکنید، به حجم حافظه فلش، حجم حافظه اجرایی و وجود درگاه USB برای حافظه خارجی نگاه کنید. روتر دوهزار روبلی با 8 مگابایت حافظه فلش از نظر فیزیکی جای بسته موردنیاز را ندارد، هر تعداد باند Wi-Fi هم که روی جعبه‌اش نوشته باشند.

جایگزین: نقطه دسترسی جداگانه یا مینی‌پی‌سی

عوض کردن میان‌افزار روتر اصلی خانه الزامی نیست و اغلب اصلاً لازم هم نیست: آن روتر کل شبکه را نگه داشته است و یک آزمایش ناموفق تمام خانه را بی‌اینترنت می‌گذارد. گزینه آرام‌تر یک دستگاه دوم است. این می‌تواند یک روتر ارزان با میان‌افزار مناسب باشد که در لایه دوم قرار می‌گیرد: اینترنت را از روتر اصلی می‌گیرد و شبکه Wi-Fi خودش را پخش می‌کند که ترافیکش پیشاپیش از تونل عبور می‌کند. تلویزیون و کنسول را به این شبکه وصل می‌کنید و بقیه را روی شبکه اصلی می‌گذارید. انعطاف‌پذیرتر از آن، مینی‌پی‌سی یا رایانه تک‌بردی با Linux معمولی است: توان پردازشی آنجا چند برابر است، کلاینت به‌طور استاندارد نصب می‌شود و به‌روزرسانی‌ها به معما تبدیل نمی‌شوند. این سناریو به‌ویژه زمانی مناسب است که روتر اصلی را اپراتور داده باشد و اصولاً نتوان میان‌افزارش را عوض کرد.

محدودیت‌ها: سرعت به پردازنده روتر گره می‌خورد

کمتر کسی صادقانه درباره این موضوع هشدار می‌دهد. رمزنگاری را پردازنده روتر انجام می‌دهد و پردازنده مدل‌های خانگی ضعیف است: معمولاً یک یا دو هسته با فرکانس حدود یک گیگاهرتز و بدون شتاب‌دهنده سخت‌افزاری رمزنگاری. چنین روتری کانال مستقیم اپراتور را به‌لطف پردازش سخت‌افزاری بسته‌ها به‌راحتی رد می‌کند، اما این پردازش برای ترافیکی که باید رمزگشایی و دوباره رمزگذاری شود کار نمی‌کند. در نتیجه روی مدل ارزان، از تونل به‌مراتب کمتر از کانال مستقیم عبور می‌کند و علتش سرور ما نیست، سخت‌افزار خانه شماست. بررسی‌اش ساده است: سرعت را روی رایانه با کلاینت به‌طور مستقیم و سپس از راه روتر اندازه بگیرید. اگر از راه روتر به‌طور محسوسی کندتر بود، مشکل از خود روتر است. درمانش یا دستگاه قوی‌تر است یا مسیریابی تفکیکی.

• پردازنده ضعیف روتر بیشتر از خود تونل سرعت را محدود می‌کند
• شتاب سخت‌افزاری بسته‌ها روی ترافیک رمزگذاری‌شده اعمال نمی‌شود
• سرعت مستقیم و از راه روتر را مقایسه کنید تا گلوگاه پیدا شود
• مینی‌پی‌سی یا برد تک‌بردی محدودیت پردازنده را برمی‌دارد

مسیریابی تفکیکی: تنها آنچه لازم است از تونل عبور کند

معمولاً لازم نیست کل ترافیک خانه را به تونل بفرستید و حتی زیان‌آور است. سایت‌های روسی، برنامه‌های بانکی، خدمات دولتی و سرویس‌های محلی روی کانال مستقیم سریع‌تر و قابل‌پیش‌بینی‌تر کار می‌کنند و برخی اصلاً درخواست‌هایی از نشانی‌های خارجی را نمی‌پذیرند. میان‌افزارهایی که کلاینت کامل دارند می‌توانند ترافیک را بر پایه قواعد تقسیم کنند: بر پایه دستگاه، دامنه یا فهرست نشانی‌ها. یک طرح عملی این شکلی است: تلویزیون، ست‌تاپ‌باکس و کنسول همیشه از وی‌پی‌ان عبور می‌کنند، لپ‌تاپ بر پایه دامنه، و تلفن‌هایی که برنامه بانکی دارند روی کانال مستقیم می‌مانند. سود جانبی‌اش روشن است: ترافیک رمزگذاری‌شده کمتری از پردازنده روتر عبور می‌کند، پس سقف سرعتی که در بخش پیش گفتیم در استفاده روزمره دیگر مسئله‌ساز نیست.

اگر روتر پروتکل موردنیاز را پشتیبانی نکند

این رایج‌ترین نتیجه است و هیچ ایرادی هم ندارد. میان‌افزار کارخانه‌ای بیشتر مدل‌ها اجازه نصب XRay یا Mihomo را نمی‌دهد و همه هم دلشان نمی‌خواهد به‌خاطر یک کار روتر را عوض کنند. آنگاه همان طرح معمولی جواب می‌دهد: کلاینت روی خود دستگاه‌ها نصب می‌شود. تلفن‌ها، تبلت‌ها، رایانه‌ها و ست‌تاپ‌باکس‌های Android در چند دقیقه تنظیم می‌شوند، سقف دستگاه‌های تعرفه شما معمولاً برای مجموعه وسایل خانه کافی است و به تلویزیون Tizen یا webOS هم یک ست‌تاپ‌باکس ارزان Android کمک می‌کند. گزینه میانی یک روتر دوم یا مینی‌پی‌سی است، تنها برای همان دستگاه‌هایی که نمی‌توان روی‌شان کلاینت نصب کرد. انتخاب اینجا کاملاً عملی است: روتر راحت‌تر است، دستگاه‌ها ساده‌تر، و هر دو روش به‌خوبی در یک خانه کنار هم می‌نشینند.