VPN على الراوتر أم VPN على الجهاز: أيّهما يغطّي ماذا

وضع النفق على الراوتر يبدو الخيار الأنيق حتى يغادر حاسوب محمول المنزل. تطبيق على الجهاز يبدو أبسط حتى يحتاج تلفاز إلى تغطية ولا يستطيع تشغيل واحد. الترتيبان يجيبان عن سؤالين مختلفين. المقارنة المفيدة تدور حول مكان دخول حركة المرور إلى النفق، لا حول أيّهما أكثر أمانًا.

أي دور يقوم به الراوتر

يمكن للراوتر أن يعمل خادم VPN لمن يتصل من المنزل، أو عميلًا للوصول إلى خدمة خارجية، أو الاثنين معًا. هذه ميزات منفصلة بصفحات إعداد منفصلة، والخادم وحده لا يرسل شيئًا إلى أي مكان. تصفح المنزل لا يغيّر المخرج إلا عندما يُضبط عميل بملف تعريف متوافق. قراءة الدور قبل البروتوكول توفّر بعد ظهر بلا فائدة.

أسماء الميزات لا تجعل البروتوكولات قابلة للتبادل أيضًا. بند في القائمة يحمل اسم VPN لا يخبرك بشيء عمّا يتوقعه الطرف الآخر.

أين تدخل حركة المرور إلى النفق

يطبّق الراوتر سياسته على الحركة التي تعبر الواجهات والقواعد التي يملكها، لذا يمكن لشبكة Wi-Fi للزوار أو بوابة ثانية أو IPv6 أن تتصرف كل واحدة بشكل مختلف عن الشبكة الرئيسية. اختبر الأجهزة التي تنوي تغطيتها بفحص العنوان العام بدلًا من افتراض أن المنزل كله مشمول. الحركة تعبر الشبكة المحلية أيضًا قبل أن تصل إلى الراوتر، لذا يبقى لأمان Wi-Fi وHTTPS التطبيق نفسه وزنهما المعتاد. النفق يبدأ عند البوابة، لا عند الجهاز.

خارج المنزل تتغير الصورة تمامًا، لأن هاتفًا على بيانات الجوال لم يعد خلف ذلك الراوتر إطلاقًا. الحاسوب المحمول على Wi-Fi المقهى يحتاج عميله الخاص إذا كانت الحاجة تتبع الشخص لا المبنى. لا شيء يفعله الراوتر يسافر مع الجهاز بعد مغادرته.

هذا هو الانقسام الذي يحسم معظم الحالات: تغطية الأجهزة الثابتة تفضّل الراوتر، وتغطية الشخص تفضّل تطبيقًا. أي شيء يخلط الاثنين يحتاج إلى كليهما، وكلاهما يحتاج إلى صيانة.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

وازن بين الصيانة والهوية

إعداد الراوتر ينقل الأسرار وتحديثات البرنامج الثابت وسياسة التوجيه إلى مسؤول البوابة، ويميل إلى إعطاء كل جهاز مشمول هوية واحدة مشتركة. التطبيق يعطي كل جهاز تسجيل دخوله وسجلاته وملفه الخاص، مقابل إدارة عدد أكبر من العملاء. الهوية المشتركة والهوية لكل جهاز مسألتان مختلفتان عندما يحتاج شيء إلى الإلغاء.

قدرة المعالجة تنتمي إلى هنا أيضًا، لأن راوترًا يخدم عدة مستخدمين يمكن أن يبلغ حدّه قبل وقت طويل من تصنيف Wi-Fi الذي يوحي به. رقم الإنتاجية العادي على العلبة ليس رقم إنتاجية نفق.

حدّد أيضًا ما ينبغي أن يحدث عندما يفشل النفق. إيقاف الحركة والعودة إلى الاتصال العادي أمران يمكن الدفاع عنهما، ويجب أن يطابق إعداد DNS والجدار الناري الخيار الذي اخترته.

خطّط للانقطاع

احتفظ بنسخة احتياطية آمنة من إعداد البوابة وبطريقة لاستعادة الإدارة لا تعتمد على بقاء النفق عاملًا. سياسة تحجب عنك راوترك نفسه مشكلة أصعب من التسريب الذي كان المفروض أن تمنعه.

قد تتطلب المعدات التي يديرها العمل عميلها المعتمد رغم ما يفعله راوتر المنزل. مخرج منزلي لا يمكن أن يوفّر الوصول إلى شبكة مكتب، أيًا كان ما يقوله جدول التوجيه.

الجمع بين الترتيبين ممكن وصحيح أحيانًا، لكن كل مسار إضافي هو شيء آخر يجب إعداده وتشخيصه. وثائق OpenWrt عن أدوار خادم VPN وعميله مرجع مفيد للفصل بين الاثنين.