Client VPN del router o mode servidor: què permet cadascun

Entres al router, obres la pàgina VPN i trobes dues pestanyes que semblen la mateixa funció descrita dues vegades: una vol un fitxer de perfil d’algun altre lloc, l’altra vol que generis certificats i triïs un port. No són dues vistes d’un mateix paràmetre. Un rol fa que el router marqui cap a fora, l’altre fa que respongui, i un equip pot fer les dues coses sense que cap ajudi l’altra. Aquí tens com llegir el menú i decidir de quin costat ets abans d’activar res.

Obre el menú VPN i llegeix els noms dels rols

Comença pels títols de les seccions i no pels interruptors. Una pestanya etiquetada com a client o «connecta’t a un servei VPN» espera un perfil importat, un fitxer de configuració o un conjunt de credencials emeses per algú altre. Una pestanya etiquetada com a servidor espera que creïs les identitats, triïs un protocol i un port i normalment exportis un perfil per a cada dispositiu que es connectarà.

Tracta la frase de màrqueting de la caixa com a no verificada fins que el menú hi coincideixi. «Compatible amb VPN» pot voler dir un client, un servidor, un assistent de pas de protocol que només reenvia paquets a un dispositiu darrere del router, o una aplicació propietària d’accés remot sense cap perfil estàndard. La documentació del firmware és l’únic lloc que distingeix aquests casos, i el número de model de l’etiqueta no.

Mode client: la teva LAN surt per la sortida d’algú altre

En mode client el router es comporta com un portàtil amb una aplicació VPN. Necessita un protocol compatible, un perfil o credencials de l’operador remot i una decisió d’encaminament sobre quins dispositius posteriors fan servir el túnel. Molts firmwares ofereixen una llista de polítiques on anomenes les adreces d’origen o les interfícies que s’han d’enviar pel túnel i deixes la resta a la connexió normal.

La part que falla en silenci és el costat remot. El punt final al qual et connectes ha de reenviar el trànsit d’internet per tu i proporcionar un camí de tornada, i això és una política del proveïdor, no un paràmetre del teu router. Un menú que només ofereix mode servidor no pot construir aquest servei cap a fora per molt que es configuri, i un proveïdor que només admet enllaços entre seus pot connectar el túnel amb èxit però descartar tot el que hi enviïs.

Després comprova com gestiona el DNS el túnel. Si el perfil empeny un resolutor, el router hauria de passar aquest resolutor als clients posteriors; si no ho fa, els clients continuen fent servir el resolutor de l’ISP i resolen noms fora del túnel encara que els paquets hi vagin dins. Una comprovació ràpida des d’un portàtil connectat: l’adreça que veus a una pàgina d’eco d’IP hauria de ser la sortida, i l’adreça del resolutor en ús hauria de ser la que ha subministrat el túnel.

Mode servidor: algú altre arriba a la teva LAN

El mode servidor inverteix la direcció. El router escolta, el dispositiu viatger es connecta, i llavors el router decideix a quins recursos de casa pot arribar aquesta connexió. Aquest és el rol que vols per a un NAS, una màquina de laboratori o una impressora, i té una condició prèvia que el rol de client no té: alguna cosa de fora ha de poder arribar a l’oient.

Aquesta condició prèvia és on s’encallen la majoria d’instal·lacions domèstiques. Si el router és darrere de la pròpia passarel·la de l’ISP, el port VPN s’ha de reenviar des d’aquesta passarel·la, o s’ha de posar el router en mode pont o DMZ. Darrere de NAT de nivell d’operador no hi ha cap port d’entrada per reenviar, així que el disseny ha de canviar: un túnel de sortida del router a un relé, un punt final allotjat o un producte de malla. Un servidor al qual no es pot arribar no està mal configurat, és inabastable.

Les identitats també canvien segons el rol. Un perfil de client domèstic que ho envia tot a una sortida de pagament és un sol secret compartit, mentre que un servidor que admet tres telèfons i un portàtil necessita quatre identitats que puguis revocar per separat. Els certificats i les claus són per dispositiu, i la pàgina d’exportació del router hauria de donar-te un fitxer per dispositiu en lloc d’un fitxer per a tota la casa.

Comprova la implementació exacta abans de comprometre-t’hi

Documentació de Netgate sobre com triar un rol VPN separa els rols d’aquesta manera, i val la pena llegir la pàgina equivalent del teu firmware en lloc de deduir-ho dels noms de les pestanyes. Busca tres fets concrets: quins protocols pot parlar el client, si el servidor admet el protocol que fan servir els teus dispositius i si la política d’encaminament cobreix adreces d’origen, interfícies senceres o res de res.

Després mira el límit de suport. Un router de consum amb pestanya de client però sense llista de polítiques enviarà tots els dispositius pel túnel, cosa que va bé per a un aparell d’emissió i malament per a un portàtil de feina que necessita el túnel de l’oficina. Un router amb pestanya de servidor però un sol perfil compartit és una eina de laboratori raonable i una mala elecció per a una família, perquè revocar un dispositiu vol dir canviar la configuració de tothom.

Tria el rol segons on comença el trànsit

Recorre la fila triada de dalt a baix abans de canviar res més. Activa el rol, connecta un client, confirma l’adreça amb què apareix, confirma quin resolutor fa servir i confirma el camí de tornada en la direcció oposada. Si el router també té una pàgina de tallafocs, comprova que la nova interfície no quedi bloquejada per una regla per defecte escrita quan el túnel encara no existia.

Quan els dos rols estan disponibles i el requisit és realment tots dos, executa’ls com a funcions separades amb documentació separada. Un router pot marcar cap a fora per al televisor i acceptar alhora una connexió de telèfon al NAS, però les dues polítiques no poden compartir una subxarxa, un paràmetre de DNS ni una zona de tallafocs, o el primer canvi que facis per a una trencarà l’altra.