Telefon ohne VPN? Router-Tunnel gegen Client pro Gerät

Der Laptop ist mit dem VPN verbunden, das Telefon hängt im selben WLAN, und trotzdem surft das Telefon über die ISP-Adresse. Das ist kein Client-Fehler: Ein Tunnel lebt auf dem Gerät, das ihn beendet, und nichts anderes erbt ihn durch bloße Nähe. Die Abdeckung breitet sich nur aus, wenn der Router selbst den Client betreibt, oder wenn ein Rechner absichtlich zum Gateway für das LAN gemacht wird. Welches Modell Sie wollen, entscheiden drei Dinge: das Protokoll, das Ihr Anbieter tatsächlich spricht, wie unterschiedlich die Geräte behandelt werden müssen, und welchen Ausfall Sie um neun Uhr abends verkraften.

Was ein Router-Tunnel tatsächlich abdeckt

Wenn der Tunnel auf dem Router endet, teilen sich alle Geräte, die über ihn routen, den Ausgang. Das ist der Reiz für einen Fernseher, eine Konsole oder ein Gerät, das nie einen Client ausführen wird: nichts zu installieren, nichts aktuell zu halten und eine einzige Stelle, um den Anbieter zu wechseln.

Die Abdeckung ist auf Arten bedingt, die Menschen überraschen. Ein Gästenetz oder ein zweites SSID mit eigener Richtlinie nimmt den Pfad, den diese Richtlinie vorgibt, nicht den Tunnel. Ein IPv6-Pfad kann einen Tunnel umgehen, der nur IPv4 trägt. Ein Gerät mit eigener VPN-App oder eigenem verschlüsselten Resolver ignoriert den Router vollständig. Und der eigene Verkehr des Routers, Updates und DNS eingeschlossen, folgt seiner Ausgangsrichtlinie, die ein anderer Pfad ist als der weitergeleitete Verkehr des LAN.

Die Prüfung ist in beiden Modellen gleich und dauert eine Minute: Fragen Sie zwei Geräte, welche Adresse die Welt sieht, und sehen Sie dann in der Verbindungsliste des Routers nach dem Tunnel. Wenn das Telefon die ISP-Adresse meldet, während der Router einen aufgebauten Tunnel zeigt, wird das Telefon nicht durch ihn geroutet, und kein Neuverbinden ändert das.

Wo ein Client pro Gerät gewinnt

Clients pro Gerät gewinnen, sobald die Anforderungen auseinandergehen. Ein Arbeits-Laptop braucht vielleicht einen Firmen-Tunnel, dem das Telefon nicht beitreten darf; ein Anbieter-Client bietet eventuell Split-Tunnelling pro Anwendung, was ein Router nicht ausdrücken kann; eine Konsole muss vielleicht draußen bleiben, um ihren NAT-Typ zu behalten. Jedes Gerät fällt auch für sich aus, sodass ein abgelaufenes Abo nicht das ganze Haus verstummen lässt.

Die Zugangsdaten sind das schärfere Argument. Ein Router, der für alle verbindet, hält ein Konto, und jede Person in diesem Netz erbt dessen Zugang. Wenn die Absicht eine Authentifizierung pro Person vor dem Internetzugang ist, kann ein Router-Tunnel allein das nicht leisten. Das übliche Design ist ein Captive Portal, das das Konto prüft und den Client dann in einen bereits aufgebauten Tunnel entlässt, was mehr bewegliche Teile sind, als die meisten Haushalte wollen.

Protokollunterstützung entscheidet mehr Fälle als die Vorliebe

Consumer-Router bieten nur die Protokolle, die der Hersteller mitgeliefert hat. Ein Router mit PPTP, L2TP oder einfachem IPsec kann sich nicht mit einem Anbieter verbinden, der ausschließlich OpenVPN oder WireGuard-Profile veröffentlicht, und keine Konfiguration ändert das. Die ehrlichen Optionen sind ein Anbieter, der ein unterstütztes Protokoll spricht, ein Router mit OpenWrt oder einer anderen Firmware mit dem Client, den Sie brauchen, oder ein Client auf jedem Gerät.

Der umgekehrte Fall ist genauso häufig: Ein OpenVPN-fähiger Router kann keinen Anbieter nutzen, dessen Dienst von einem proprietären Client und dessen eigenen Routing-Tricks abhängt. Lesen Sie die Seite des Anbieters zu unterstützten Protokollen, bevor Sie Hardware kaufen, und prüfen Sie die Firmware-Version, denn „unterstützt WireGuard“ auf einer Produktseite bedeutet oft eine bestimmte Firmware-Generation.

Ein Reise-Router mit WireGuard-Client ist die billige Variante des Router-Modells und eine vernünftige Antwort für eine Handvoll Geräte, die keinen Client ausführen können. Es ist trotzdem ein Router-Tunnel, also gilt alles oben zu Gästenetzen, IPv6 und gemeinsamem Ausfall unverändert.

Die dritte Option: ein Rechner als Gateway

Einen Client von einem Laptop zu teilen ist möglich, und das meinen die Leute meistens damit, den Laptop in einen Router zu verwandeln.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Es funktioniert, bis der Rechner schläft, der Client sich in ein anderes Profil neu verbindet oder die eigene Firewall des Rechners weitergeleitete Pakete verwirft. Dann verlieren alle Geräte dahinter gleichzeitig die Verbindung, und der Ausfall sieht wie ein totes Netzwerk aus, nicht wie ein VPN-Problem.

Für ein Labor oder ein provisorisches Setup ist es in Ordnung. Als dauerhafte Einrichtung macht es einen Laptop zum Single Point of Failure für einen Haushalt, und es endet meist damit, dass sich jemand fragt, warum der Fernseher aufhörte zu arbeiten, als ein Deckel zufiel.

Eingehende Ports, DNS und der geteilte Ausfall

Eingehende Dienste wandern mit dem Tunnel. Ein Router-VPN bricht meist die Portweiterleitung für einen LAN-Server, und ein dynamischer DNS-Name muss auf den VPN-Ausgang zeigen statt auf die ISP-Adresse, wenn der Dienst über den Tunnel erreichbar sein soll. Manche Anbieter bieten überhaupt keine routbare eingehende Adresse, was jeden Plan, der auf einer beruhte, still beendet.

DNS folgt dem Router, wenn der Router den Tunnel besitzt, was praktisch ist, bis ein Gerät einen anderen Resolver braucht. Ein Client pro Gerät kann das ausdrücken; eine Router-Richtlinie kann es nicht, ohne das Netz in zwei zu teilen. Der Ausfall wird ebenfalls geteilt, denn ein Absturz, ein abgelaufenes Abo oder eine schlechte gepushte Route trennt jedes Gerät im selben Moment.

Wählen Sie das Router-Modell, wenn die Geräte keine Clients ausführen können und ein einziger Ausgang akzeptabel ist. Wählen Sie Clients pro Gerät, wenn die Richtlinien abweichen, wenn der Anbieter ein Protokoll braucht, das dem Router fehlt, oder wenn das Konto nicht geteilt werden darf. Wenn ein Rechner das Gateway ist, schreiben Sie auf, welche Schnittstelle welches Netz teilt, und testen Sie den Fall „Tunnel weg“, denn das ist der Zustand, in dem sich die meisten dieser Entwürfe als falsch erweisen.