VPN en el router o VPN en el dispositivo: qué cubre cada una

Poner el túnel en el router suena a la opción más ordenada hasta que un portátil sale de casa. Una aplicación en el dispositivo suena más sencilla hasta que un televisor necesita cobertura y no puede ejecutar ninguna. Los dos arreglos responden preguntas distintas. La comparación útil trata de dónde entra el tráfico en el túnel, no de cuál es más segura.

Qué papel desempeña el router

Un router puede actuar como servidor VPN para quienes se conectan desde casa, como cliente para llegar a un servicio externo o como ambas cosas a la vez. Son funciones separadas con páginas de configuración separadas, y el servidor por sí solo no envía nada a ninguna parte. La navegación doméstica solo cambia la salida cuando un cliente está configurado con un perfil compatible. Leer el papel antes que el protocolo ahorra una tarde inútil.

Los nombres de las funciones tampoco hacen intercambiables los protocolos. Una entrada de menú etiquetada VPN no le dice nada sobre lo que espera el otro extremo.

Dónde entra el tráfico en el túnel

Un router aplica su política al tráfico que cruza las interfaces y las reglas que posee, así que el Wi-Fi de invitados, una segunda puerta de enlace o IPv6 pueden comportarse cada uno de forma distinta a la red principal. Pruebe los dispositivos que pretende cubrir con una comprobación de la dirección pública en lugar de suponer que toda la casa está incluida. El tráfico también cruza la red local antes de llegar al router, así que la seguridad del Wi-Fi y el HTTPS propio de la aplicación siguen teniendo su peso habitual. El túnel empieza en la puerta de enlace, no en el dispositivo.

Fuera de casa el panorama cambia por completo, porque un teléfono con datos móviles ya no está detrás de ese router. Un portátil con el Wi-Fi de una cafetería necesita su propio cliente si el requisito sigue a la persona y no al edificio. Nada de lo que hace el router viaja con el dispositivo cuando este se va.

Esta es la división que decide la mayoría de los casos: la cobertura de dispositivos fijos favorece al router, y la cobertura de una persona favorece a una aplicación. Todo lo que mezcla las dos cosas necesita ambas, y ambas necesitan mantenimiento.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Sopesar mantenimiento e identidad

Una instalación con router traslada secretos, actualizaciones de firmware y política de enrutamiento al administrador de la puerta de enlace, y suele dar a cada dispositivo cubierto una identidad compartida. Una aplicación da a cada dispositivo su propio inicio de sesión, sus propios registros y su propio perfil, a cambio de gestionar más clientes. La identidad compartida y la identidad por dispositivo son propuestas distintas cuando hay que revocar algo.

La capacidad de procesamiento también cuenta, porque un router que atiende a varios usuarios puede alcanzar su límite mucho antes de lo que sugiere su calificación de Wi-Fi. La cifra de rendimiento habitual de la caja no es una cifra de rendimiento del túnel.

Decida también qué debe ocurrir cuando el túnel falla. Detener el tráfico y volver a la conexión ordinaria son ambas opciones defendibles, y la configuración de DNS y cortafuegos debe coincidir con la que haya elegido.

Planificar la caída

Mantenga una copia de seguridad segura de la configuración de la puerta de enlace y una forma de restaurar la administración que no dependa de que el túnel esté activo. Una política que le deja fuera de su propio router es un problema más difícil que la fuga que debía evitar.

El equipo gestionado por el trabajo puede seguir exigiendo su propio cliente aprobado, haga lo que haga el router de casa. Una salida doméstica no puede dar acceso a una red de oficina, diga lo que diga la tabla de enrutamiento.

Combinar los dos arreglos es posible y a veces correcto, pero cada ruta adicional es otra cosa que configurar y diagnosticar. La documentación de OpenWrt sobre los papeles de servidor y cliente VPN es una referencia útil para mantenerlos separados.