Téléphone hors du VPN ? Tunnel du routeur ou client par appareil

L'ordinateur portable est connecté au VPN, le téléphone est sur le même Wi-Fi, et le téléphone navigue toujours depuis l'adresse du FAI. Ce n'est pas un bug du client : un tunnel vit sur la machine qui le termine, et rien d'autre ne l'hérite par proximité. La couverture ne s'étend que lorsque le routeur exécute lui-même le client, ou lorsqu'une machine est délibérément transformée en passerelle pour le LAN. Le modèle que vous voulez se décide sur trois points : le protocole que votre fournisseur parle réellement, la différence de traitement nécessaire entre les appareils, et la panne que vous pouvez supporter à neuf heures du soir.

Ce qu'un tunnel de routeur couvre réellement

Quand le tunnel se termine sur le routeur, chaque appareil qui passe par lui partage la sortie. C'est l'attrait pour une télévision, une console ou un appareil qui n'exécutera jamais de client : rien à installer, rien à maintenir à jour, et un seul endroit où changer de fournisseur.

La couverture est conditionnelle de manières qui surprennent. Un réseau invité ou un second SSID doté de sa propre politique suit le chemin que cette politique définit, pas le tunnel. Un chemin IPv6 peut contourner un tunnel qui ne transporte que de l'IPv4. Un appareil doté de sa propre application VPN ou de son propre résolveur chiffré ignore le routeur complètement. Et le trafic propre du routeur, mises à jour et DNS compris, suit sa politique de sortie, qui est un chemin différent de celui du trafic transféré du LAN.

La vérification est la même dans les deux modèles et prend une minute : demandez à deux appareils quelle adresse le monde voit, puis regardez dans la liste des connexions du routeur si le tunnel existe. Si le téléphone annonce l'adresse du FAI alors que le routeur affiche un tunnel établi, le téléphone n'est pas routé par lui, et aucune reconnexion n'y changera rien.

Là où le client par appareil gagne

Les clients par appareil gagnent dès que les besoins divergent. Un portable professionnel peut avoir besoin d'un tunnel d'entreprise auquel le téléphone ne doit pas se joindre ; un client de fournisseur peut offrir un tunnel divisé par application, ce qu'un routeur ne sait pas exprimer ; une console peut devoir rester dehors pour conserver son type de NAT. Chaque appareil tombe aussi en panne pour son compte, si bien qu'un abonnement expiré ne réduit pas toute la maison au silence.

Les identifiants sont l'argument le plus tranchant. Un routeur qui se connecte au nom de tous ne détient qu'un compte, et chaque personne de ce réseau hérite de son accès. Si l'intention est d'authentifier chaque personne avant l'accès à Internet, un tunnel de routeur seul ne peut pas le faire. La conception habituelle est un portail captif qui valide le compte puis libère le client dans un tunnel déjà établi, ce qui fait plus de pièces mobiles que la plupart des foyers n'en veulent.

La prise en charge des protocoles tranche plus de cas que la préférence

Les routeurs grand public n'exposent que les protocoles fournis par le fabricant. Un routeur proposant PPTP, L2TP ou IPsec simple ne peut pas se connecter à un fournisseur qui ne publie que des profils OpenVPN ou WireGuard, et aucune configuration n'y change rien. Les options honnêtes sont un fournisseur qui parle un protocole pris en charge, un routeur sous OpenWrt ou un autre firmware avec le client qu'il vous faut, ou un client sur chaque appareil.

Le cas inverse est tout aussi courant : un routeur compatible OpenVPN ne peut pas utiliser un fournisseur dont le service dépend d'un client propriétaire et de ses propres astuces de routage. Lisez la page des protocoles pris en charge du fournisseur avant d'acheter du matériel, et vérifiez la version du firmware, car « prend en charge WireGuard » sur une fiche produit signifie souvent une génération de firmware précise.

Un routeur de voyage avec client WireGuard est la version bon marché du modèle routeur, et une réponse raisonnable pour une poignée d'appareils qui ne peuvent pas exécuter de client. Cela reste un tunnel de routeur, donc tout ce qui précède sur les réseaux invités, l'IPv6 et la panne partagée s'applique sans changement.

La troisième option : une machine comme passerelle

Partager un client depuis un portable est possible, et c'est ce que les gens veulent généralement dire en transformant le portable en routeur.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Cela fonctionne jusqu'à ce que la machine se mette en veille, que le client se reconnecte sur un autre profil ou que le pare-feu de la machine rejette les paquets transférés. Alors tout ce qui est derrière perd la connectivité d'un coup, et la panne ressemble à un réseau mort plutôt qu'à un problème de VPN.

Pour un laboratoire ou une installation temporaire, c'est acceptable. Comme arrangement permanent, cela fait d'un portable le seul point de défaillance d'un foyer, et cela finit généralement par quelqu'un qui se demande pourquoi la télévision a cessé de fonctionner quand un couvercle s'est refermé.

Ports entrants, DNS et la panne partagée

Les services entrants suivent le tunnel. Un VPN sur le routeur casse généralement la redirection de ports pour un serveur du LAN, et un nom DNS dynamique doit pointer vers la sortie du VPN plutôt que vers l'adresse du FAI si le service doit être joignable à travers le tunnel. Certains fournisseurs n'offrent aucune adresse entrante routable, ce qui met silencieusement fin à tout plan qui en dépendait.

Le DNS suit le routeur lorsque le routeur possède le tunnel, ce qui est pratique jusqu'à ce qu'un appareil ait besoin d'un autre résolveur. Un client par appareil peut l'exprimer ; une politique de routeur ne le peut pas sans couper le réseau en deux. La panne est partagée aussi, car un plantage, un abonnement expiré ou une route poussée défectueuse déconnectent chaque appareil au même instant.

Choisissez le modèle routeur quand les appareils ne peuvent pas exécuter de clients et qu'une sortie unique est acceptable. Choisissez les clients par appareil quand les politiques diffèrent, quand le fournisseur exige un protocole que le routeur n'a pas, ou quand le compte ne doit pas être partagé. Si une machine est la passerelle, notez quelle interface partage quel réseau et testez le cas du tunnel coupé, car c'est l'état dans lequel la plupart de ces conceptions se révèlent fausses.