Router-VPN oder Geräte-VPN: Was deckt was ab

Ein Router-Tunnel deckt jedes Gerät ab, das ihn nutzt, und eine App auf dem Gerät folgt Ihnen. Abdeckung, Wartung und Fehlerverhalten entscheiden, welche Variante Sie wollen.

Den Tunnel auf den Router zu legen klingt nach der ordentlicheren Wahl, bis ein Laptop das Haus verlässt. Eine App auf dem Gerät klingt einfacher, bis ein Fernseher Abdeckung braucht und keine ausführen kann. Die beiden Anordnungen beantworten unterschiedliche Fragen. Der nützliche Vergleich dreht sich darum, wo der Verkehr in den Tunnel eintritt, nicht darum, welche sicherer ist.

Welche Rolle der Router spielt

Ein Router kann als VPN-Server für Menschen dienen, die sich von zu Hause verbinden, als Client für einen externen Dienst oder als beides zugleich. Das sind getrennte Funktionen mit getrennten Konfigurationsseiten, und der Server allein sendet nichts irgendwohin. Das Surfen im Haushalt ändert den Ausgang erst, wenn ein Client mit einem kompatiblen Profil eingerichtet ist. Wer die Rolle vor dem Protokoll liest, spart einen sinnlosen Nachmittag.

Auch Funktionsnamen machen Protokolle nicht austauschbar. Ein Menüeintrag mit der Bezeichnung VPN sagt nichts darüber, was die andere Seite erwartet.

Wo der Verkehr in den Tunnel eintritt

Ein Router wendet seine Richtlinie auf Verkehr an, der die Schnittstellen und Regeln überquert, die er besitzt, sodass Gast-Wi-Fi, ein zweites Gateway oder IPv6 sich jeweils anders verhalten können als das Hauptnetz. Prüfen Sie die Geräte, die Sie abdecken wollen, mit einem Test der öffentlichen Adresse, statt anzunehmen, das ganze Haus sei eingeschlossen. Verkehr überquert auch das lokale Netz, bevor er den Router erreicht, daher tragen Wi-Fi-Sicherheit und das eigene HTTPS der Anwendung weiterhin ihr gewohntes Gewicht. Der Tunnel beginnt am Gateway, nicht am Gerät.

Außerhalb des Hauses ändert sich das Bild vollständig, denn ein Telefon mit Mobilfunkdaten ist gar nicht mehr hinter diesem Router. Ein Laptop im Café-Wi-Fi braucht seinen eigenen Client, wenn die Anforderung der Person folgt und nicht dem Gebäude. Nichts, was der Router tut, reist mit dem Gerät, sobald es ihn verlässt.

Diese Trennung entscheidet die meisten Fälle: Die Abdeckung fester Geräte spricht für den Router, die Abdeckung einer Person für eine App. Alles, was beides mischt, braucht beides, und beides muss gewartet werden.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Wartung und Identität abwägen

Eine Router-Einrichtung verlagert Geheimnisse, Firmware-Aktualisierungen und Routing-Richtlinien auf den Gateway-Administrator und gibt jedem abgedeckten Gerät meist eine gemeinsame Identität. Eine App gibt jedem Gerät seine eigene Anmeldung, seine eigenen Protokolle und sein eigenes Profil, zum Preis der Verwaltung mehrerer Clients. Gemeinsame und gerätebezogene Identität sind verschiedene Angebote, wenn etwas widerrufen werden muss.

Auch die Rechenleistung gehört hierher, denn ein Router, der mehrere Nutzer bedient, kann seine Grenze weit vor der Wi-Fi-Bewertung erreichen, die das Gehäuse nahelegt. Die gewöhnliche Durchsatzzahl auf der Schachtel ist keine Tunnel-Durchsatzzahl.

Legen Sie auch fest, was beim Ausfall des Tunnels geschehen soll. Verkehr anzuhalten und auf die gewöhnliche Verbindung zurückzufallen ist beides vertretbar, und die DNS- und Firewall-Konfiguration muss zu der gewählten Variante passen.

Den Ausfall einplanen

Halten Sie eine sichere Sicherung der Gateway-Konfiguration und einen Weg bereit, die Verwaltung wiederherzustellen, der nicht davon abhängt, dass der Tunnel läuft. Eine Richtlinie, die Sie aus Ihrem eigenen Router aussperrt, ist ein schwierigeres Problem als das Leck, das sie verhindern sollte.

Vom Arbeitgeber verwaltete Geräte können weiterhin ihren eigenen zugelassenen Client verlangen, unabhängig davon, was der Heimrouter tut. Ein Hausanschluss kann keinen Zugang zu einem Firmennetz bieten, was die Routing-Tabelle auch sagt.

Beide Anordnungen zu kombinieren ist möglich und manchmal richtig, aber jeder zusätzliche Pfad ist eine weitere Sache zum Einrichten und Diagnostizieren. Die OpenWrt-Dokumentation zu VPN-Server- und Client-Rollen ist eine nützliche Referenz, um die beiden auseinanderzuhalten.

Ähnliche Artikel