Router-VPN eller enheds-VPN: hvad dækker hvad

At lægge tunnelen på routeren lyder som det pænere valg, indtil en bærbar forlader huset. En app på enheden lyder enklere, indtil et fjernsyn har brug for dækning og ikke kan køre en. De to opsætninger besvarer forskellige spørgsmål. Den brugbare sammenligning handler om hvor trafikken kommer ind i tunnelen, ikke om hvilken der er mest sikker.

Hvilken rolle routeren spiller

En router kan fungere som VPN-server for folk, der kobler til hjemmefra, som klient til at nå en ekstern tjeneste eller som begge dele på én gang. Det er adskilte funktioner med adskilte konfigurationssider, og serveren alene sender intet nogen steder. Hjemmets browsing skifter først udgang, når en klient er sat op med en kompatibel profil. At læse rollen før protokollen sparer en nytteløs eftermiddag.

Funktionsnavne gør heller ikke protokoller udskiftelige. Et menupunkt med navnet VPN fortæller intet om, hvad den anden ende forventer.

Hvor trafikken kommer ind i tunnelen

En router anvender sin politik på trafik, der krydser de grænseflader og regler, den ejer, så gæste-Wi-Fi, en ekstra gateway eller IPv6 kan hver især opføre sig anderledes end hovednetværket. Test de enheder, du vil dække, med et tjek af den offentlige adresse i stedet for at antage, at hele huset er med. Trafik krydser også det lokale netværk, før den når routeren, så Wi-Fi-sikkerhed og applikationens egen HTTPS vejer stadig som normalt. Tunnelen begynder ved gatewayen, ikke ved enheden.

Uden for huset ændrer billedet sig helt, for en telefon på mobildata er slet ikke bag den router mere. En bærbar på café-Wi-Fi har brug for sin egen klient, hvis kravet følger personen snarere end bygningen. Intet af det, routeren gør, rejser med enheden, når den forlader stedet.

Det er den opdeling, der afgør de fleste tilfælde: dækning af faste enheder taler for routeren, og dækning af en person taler for en app. Alt, der blander de to, har brug for begge, og begge skal vedligeholdes.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Afvej vedligeholdelse og identitet

En routeropsætning flytter hemmeligheder, firmwareopdateringer og routingpolitik til gatewayens administrator og giver typisk hver dækket enhed én fælles identitet. En app giver hver enhed sit eget login, sine egne logfiler og sin egen profil, til prisen af flere klienter at administrere. Fælles og enhedsvis identitet er forskellige tilbud, når noget skal tilbagekaldes.

Regnekraft hører også med her, for en router, der betjener flere brugere, kan nå sin grænse længe før dens Wi-Fi-bedømmelse antyder. Det almindelige gennemløbstal på æsken er ikke et tunnelgennemløbstal.

Beslut også, hvad der skal ske, når tunnelen svigter. At stoppe trafikken og at falde tilbage til den almindelige forbindelse er begge forsvarlige, og DNS- og firewallkonfigurationen skal passe til det, du valgte.

Planlæg afbrydelsen

Hold en sikker sikkerhedskopi af gatewaykonfigurationen og en måde at gendanne administrationen på, som ikke afhænger af, at tunnelen er oppe. En politik, der låser dig ude af din egen router, er et sværere problem end den lækage, den skulle forhindre.

Arbejdsstyret udstyr kan stadig kræve sin egen godkendte klient, uanset hvad hjemmerouteren gør. En hjemmeudgang kan ikke give adgang til et kontornetværk, hvad routingtabellen så end siger.

Det er muligt og nogle gange rigtigt at kombinere begge opsætninger, men hver ekstra vej er endnu en ting at konfigurere og diagnosticere. OpenWrts dokumentation om VPN-server- og klientroller er en nyttig reference til at holde de to adskilt.