Ĉu VPN en la enkursigilo aŭ VPN en la aparato: kio kovras kion

Meti la tunelon en la enkursigilon ŝajnas la pli ordema elekto, ĝis tekkomputilo forlasas la domon. Aplikaĵo en la aparato ŝajnas pli simpla, ĝis televidilo bezonas kovradon kaj ne povas ruli unu. La du aranĝoj respondas malsamajn demandojn. La utila komparo temas pri kie la trafiko eniras la tunelon, ne pri tio, kiu estas pli sekura.

Kiun rolon la enkursigilo ludas

Enkursigilo povas agi kiel VPN-servilo por homoj, kiuj konektiĝas hejme, kiel kliento por atingi eksteran servon, aŭ kiel ambaŭ samtempe. Tiuj estas apartaj funkcioj kun apartaj agordaj paĝoj, kaj la servilo sola sendas nenion ien. Hejma retumado ŝanĝas la eliron nur kiam kliento estas agordita kun kongrua profilo. Legi la rolon antaŭ la protokolo ŝparas senutilan posttagmezon.

Ankaŭ funkciaj nomoj ne igas protokolojn interŝanĝeblaj. Menuero markita VPN diras al vi nenion pri tio, kion la alia flanko atendas.

Kie la trafiko eniras la tunelon

Enkursigilo aplikas sian politikon al trafiko, kiu transiras la interfacojn kaj regulojn, kiujn ĝi posedas, do gastiganta Wi-Fi, dua enirejo aŭ IPv6 povas ĉiu konduti malsame ol la ĉefa reto. Testu la aparatojn, kiujn vi intencas kovri, per kontrolo de la publika adreso anstataŭ supozi, ke la tuta domo estas inkluzivita. Trafiko ankaŭ transiras la lokan reton antaŭ ol atingi la enkursigilon, do Wi-Fi-sekureco kaj la propra HTTPS de la aplikaĵo ankoraŭ portas sian kutiman pezon. La tunelo komenciĝas ĉe la enirejo, ne ĉe la aparato.

Ekster la domo la bildo tute ŝanĝiĝas, ĉar telefono sur moveblaj datumoj jam ne estas malantaŭ tiu enkursigilo. Tekkomputilo sur kafeja Wi-Fi bezonas sian propran klienton, se la postulo sekvas la personon anstataŭ la konstruaĵon. Nenio, kion la enkursigilo faras, vojaĝas kun la aparato, kiam ĝi foriras.

Ĉi tiu estas la divido, kiu decidas plej multajn kazojn: kovrado de fiksaj aparatoj favoras la enkursigilon, kaj kovrado de persono favoras aplikaĵon. Io ajn, kio miksas la du, bezonas ambaŭ, kaj ambaŭ bezonas prizorgadon.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Pesu prizorgadon kaj identecon

Agordo de enkursigilo translokigas sekretojn, firmvarajn ĝisdatigojn kaj enkursigan politikon al la administranto de la enirejo, kaj ĝi emas doni al ĉiu kovrita aparato unu komunan identecon. Aplikaĵo donas al ĉiu aparato sian propran ensaluton, siajn proprajn protokolojn kaj sian propran profilon, kontraŭ la prezo administri pli da klientoj. Komuna kaj per-aparata identeco estas malsamaj proponoj, kiam io devas esti revokita.

Ankaŭ prilabora kapacito apartenas ĉi tien, ĉar enkursigilo servanta plurajn uzantojn povas atingi sian limon longe antaŭ ol ĝia Wi-Fi-takso sugestas. La ordinara trafik-kvanto sur la skatolo ne estas tunela trafik-kvanto.

Decidu ankaŭ, kio devus okazi, kiam la tunelo paneas. Haltigi trafikon kaj reiri al la ordinara konekto ambaŭ estas defendeblaj, kaj la DNS- kaj fajroŝirma agordo devas kongrui kun tio, kion vi elektis.

Planu por la interrompo

Konservu sekuran rezervan kopion de la enireja agordo kaj manieron restarigi administradon, kiu ne dependas de tio, ĉu la tunelo funkcias. Politiko, kiu ŝlosas vin ekster via propra enkursigilo, estas pli malfacila problemo ol la liko, kiun ĝi celis malhelpi.

Labor-administrata ekipaĵo povas ankoraŭ postuli sian propran aprobitan klienton, sendepende de tio, kion la hejma enkursigilo faras. Hejma eliro ne povas provizi aliron al oficeja reto, kion ajn diras la enkursiga tabelo.

Kombini ambaŭ aranĝojn eblas kaj foje pravas, sed ĉiu plia vojo estas ankoraŭ unu afero por agordi kaj diagnozi. La dokumentaro de OpenWrt pri la roloj de VPN-servilo kaj kliento estas utila referenco por teni la du aparte.