VPN al router o VPN al dispositiu: què cobreix cadascun

Posar el túnel al router sembla l’opció més endreçada fins que un portàtil surt de casa. Una aplicació al dispositiu sembla més simple fins que un televisor necessita cobertura i no pot executar-ne cap. Els dos arranjaments responen preguntes diferents. La comparació útil tracta de on entra el trànsit al túnel, no de quin és més segur.

Quin paper fa el router

Un router pot fer de servidor VPN per a qui es connecta des de casa, de client per arribar a un servei extern o de totes dues coses alhora. Són funcions separades amb pàgines de configuració separades, i el servidor sol no envia res enlloc. La navegació domèstica només canvia la sortida quan un client està configurat amb un perfil compatible. Llegir el paper abans que el protocol estalvia una tarda inútil.

Els noms de les funcions tampoc no fan intercanviables els protocols. Una entrada de menú etiquetada VPN no et diu res sobre què espera l’altre extrem.

On entra el trànsit al túnel

Un router aplica la seva política al trànsit que creua les interfícies i les regles que posseeix, així que el Wi-Fi de convidats, una segona passarel·la o IPv6 poden comportar-se cadascun de manera diferent de la xarxa principal. Prova els dispositius que vols cobrir amb una comprovació de l’adreça pública en lloc de suposar que tota la casa hi és inclosa. El trànsit també creua la xarxa local abans d’arribar al router, així que la seguretat del Wi-Fi i l’HTTPS propi de l’aplicació continuen tenint el seu pes habitual. El túnel comença a la passarel·la, no al dispositiu.

Fora de casa el panorama canvia del tot, perquè un telèfon amb dades mòbils ja no és darrere d’aquell router. Un portàtil amb el Wi-Fi d’un cafè necessita el seu propi client si el requisit segueix la persona i no l’edifici. Res del que fa el router no viatja amb el dispositiu quan aquest se’n va.

Aquesta és la divisió que decideix la majoria de casos: la cobertura de dispositius fixos afavoreix el router, i la cobertura d’una persona afavoreix una aplicació. Tot el que barreja les dues coses necessita totes dues, i totes dues necessiten manteniment.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Pesa el manteniment i la identitat

Una instal·lació amb router trasllada secrets, actualitzacions de firmware i política d’encaminament a l’administrador de la passarel·la, i tendeix a donar a cada dispositiu cobert una identitat compartida. Una aplicació dóna a cada dispositiu el seu propi inici de sessió, els seus registres i el seu perfil, a canvi de gestionar més clients. La identitat compartida i la identitat per dispositiu són propostes diferents quan cal revocar alguna cosa.

La capacitat de processament també hi entra, perquè un router que atén diversos usuaris pot arribar al seu límit molt abans del que suggereix la seva valoració de Wi-Fi. La xifra de rendiment habitual de la caixa no és una xifra de rendiment del túnel.

Decideix també què ha de passar quan el túnel falla. Aturar el trànsit i tornar a la connexió ordinària són totes dues opcions defensables, i la configuració de DNS i tallafocs ha de coincidir amb la que hagis triat.

Planifica la interrupció

Mantingues una còpia de seguretat segura de la configuració de la passarel·la i una manera de restaurar l’administració que no depengui que el túnel estigui actiu. Una política que et deixa fora del teu propi router és un problema més difícil que la fuita que havia d’evitar.

L’equipament gestionat per la feina pot requerir encara el seu propi client aprovat, faci el que faci el router de casa. Una sortida domèstica no pot donar accés a una xarxa d’oficina, digui el que digui la taula d’encaminament.

Combinar tots dos arranjaments és possible i de vegades correcte, però cada camí addicional és una cosa més per configurar i diagnosticar. La documentació d’OpenWrt sobre els papers de servidor i client VPN és una referència útil per mantenir-los separats.