Telèfon fora de la VPN? Túnel al router o client per dispositiu

L'ordinador portàtil està connectat a la VPN, el telèfon és a la mateixa Wi-Fi i, tot i així, el telèfon navega des de l'adreça de l'ISP. No és una fallada del client: un túnel viu a la màquina que el termina i res més l'hereta per proximitat. La cobertura només s'estén quan el router executa el client, o quan una màquina es converteix a propòsit en passarel·la per a la LAN. Quin model voleu es decideix per tres coses: el protocol que el vostre proveïdor parla de debò, com de diferent s'han de tractar els dispositius i quina fallada podeu suportar a les nou del vespre.

Què cobreix realment un túnel al router

Quan el túnel acaba al router, tots els dispositius que hi encaminen comparteixen la sortida. Aquest és l'atractiu per a un televisor, una consola o un electrodomèstic que mai executarà un client: res a instal·lar, res a mantenir actualitzat i un sol lloc on canviar de proveïdor.

La cobertura és condicional de maneres que sorprenen. Una xarxa de convidats o un segon SSID amb la seva pròpia política pren la ruta que defineix aquesta política, no el túnel. Una ruta IPv6 pot saltar-se un túnel que només transporta IPv4. Un dispositiu amb la seva pròpia aplicació VPN o el seu propi resolutor xifrat ignora el router del tot. I el trànsit propi del router, actualitzacions i DNS inclosos, segueix la seva política de sortida, que és una ruta diferent de la del trànsit reenviat de la LAN.

La verificació és la mateixa en tots dos models i triga un minut: pregunteu a dos dispositius quina adreça veu el món i després reviseu la llista de connexions del router per veure el túnel. Si el telèfon informa de l'adreça de l'ISP mentre el router mostra un túnel establert, el telèfon no hi és encaminat, i cap reconnexió ho canviarà.

On guanya el client per dispositiu

Els clients per dispositiu guanyen tan bon punt els requisits divergeixen. Un portàtil de feina pot necessitar un túnel corporatiu al qual el telèfon no s'ha d'unir; un client de proveïdor pot oferir túnel dividit per aplicació, cosa que un router no pot expressar; una consola pot necessitar quedar-se fora per mantenir el seu tipus de NAT. A més, cada dispositiu falla pel seu compte, així que una subscripció caducada no silencia tota la casa.

Les credencials són l'argument més esmolat. Un router que es connecta en nom de tots sosté un sol compte, i cada persona d'aquella xarxa n'hereta l'accés. Si la intenció és autenticar cada persona abans de l'accés a internet, un túnel al router tot sol no ho pot fer. El disseny habitual és un portal captiu que valida el compte i després deixa el client en un túnel ja establert, cosa que són més peces mòbils de les que volen la majoria de les llars.

El suport de protocols decideix més casos que la preferència

Els routers de consum només exposen els protocols que el fabricant va incloure. Un router amb PPTP, L2TP o IPsec simple no es pot connectar a un proveïdor que només publica perfils OpenVPN o WireGuard, i cap configuració ho canvia. Les opcions honestes són un proveïdor que parli un protocol compatible, un router amb OpenWrt o un altre firmware amb el client que necessiteu, o un client a cada dispositiu.

El cas invers és igual de comú: un router compatible amb OpenVPN no pot usar un proveïdor el servei del qual depèn d'un client propietari i dels seus propis trucs d'encaminament. Llegiu la pàgina de protocols compatibles del proveïdor abans de comprar maquinari i comproveu la versió del firmware, perquè «compatible amb WireGuard» en una pàgina de producte sovint vol dir una generació concreta de firmware.

Un router de viatge amb client WireGuard és la versió barata del model de router i una resposta raonable per a un grapat de dispositius que no poden executar un client. Segueix sent un túnel al router, així que tot l'anterior sobre xarxes de convidats, IPv6 i fallada compartida s'aplica sense canvis.

La tercera opció: una màquina com a passarel·la

Compartir un client des d'un portàtil és possible, i és el que la gent sol voler dir amb convertir el portàtil en un router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funciona fins que la màquina se suspèn, el client es reconnecta a un altre perfil o el tallafoc de la màquina descarta paquets reenviats. Llavors tot el que hi ha darrere perd la connectivitat alhora, i la fallada sembla una xarxa morta en lloc d'un problema de VPN.

Per a un laboratori o un muntatge temporal està bé. Com a arranjament permanent converteix un portàtil en l'únic punt de fallada d'una llar, i sol acabar amb algú preguntant-se per què el televisor va deixar de funcionar quan es va tancar una tapa.

Ports d'entrada, DNS i la fallada que compartiu

Els serveis d'entrada es mouen amb el túnel. Una VPN al router sol trencar el reenviament de ports per a un servidor de la LAN, i un nom DNS dinàmic ha d'apuntar a la sortida de la VPN en lloc de l'adreça de l'ISP si el servei ha de ser accessible pel túnel. Alguns proveïdors no ofereixen cap adreça d'entrada encaminable, cosa que acaba en silenci amb qualsevol pla que en depengués.

El DNS segueix el router quan el router és amo del túnel, cosa que és còmoda fins que un dispositiu necessita un altre resolutor. Un client per dispositiu ho pot expressar; una política de router no pot sense partir la xarxa en dos. La fallada també es comparteix, perquè una caiguda, una subscripció caducada o una ruta empenyuda defectuosa desconnecten cada dispositiu al mateix moment.

Trieu el model de router quan els dispositius no puguin executar clients i una sola sortida sigui acceptable. Trieu clients per dispositiu quan les polítiques difereixin, quan el proveïdor necessiti un protocol que el router no té o quan el compte no s'hagi de compartir. Si una màquina és la passarel·la, anoteu quina interfície comparteix quina xarxa i proveu el cas de túnel caigut, perquè aquest és l'estat en què la majoria d'aquests dissenys resulten estar malament.