VPN sur le routeur ou VPN sur l’appareil : lequel couvre quoi

Mettre le tunnel sur le routeur semble le choix le plus propre jusqu’à ce qu’un portable quitte la maison. Une application sur l’appareil semble plus simple jusqu’à ce qu’un téléviseur ait besoin de couverture et ne puisse en exécuter aucune. Les deux arrangements répondent à des questions différentes. La comparaison utile porte sur l’endroit où le trafic entre dans le tunnel, pas sur lequel est le plus sûr.

Quel rôle joue le routeur

Un routeur peut servir de serveur VPN aux personnes qui se connectent depuis chez elles, de client pour atteindre un service externe, ou des deux à la fois. Ce sont des fonctions distinctes avec des pages de configuration distinctes, et le serveur seul n’envoie rien nulle part. La navigation domestique ne change de sortie que lorsqu’un client est configuré avec un profil compatible. Lire le rôle avant le protocole épargne un après-midi inutile.

Les noms de fonctions ne rendent pas non plus les protocoles interchangeables. Une entrée de menu étiquetée VPN ne vous dit rien de ce que l’autre extrémité attend.

Où le trafic entre dans le tunnel

Un routeur applique sa politique au trafic qui traverse les interfaces et les règles qu’il possède, si bien que le Wi-Fi invité, une seconde passerelle ou IPv6 peuvent chacun se comporter différemment du réseau principal. Testez les appareils que vous comptez couvrir avec une vérification de l’adresse publique plutôt qu’en supposant que toute la maison est incluse. Le trafic traverse aussi le réseau local avant d’atteindre le routeur, donc la sécurité du Wi-Fi et le HTTPS propre à l’application pèsent toujours de leur poids habituel. Le tunnel commence à la passerelle, pas à l’appareil.

Hors de la maison, le tableau change complètement, car un téléphone en données mobiles n’est plus du tout derrière ce routeur. Un portable sur le Wi-Fi d’un café a besoin de son propre client si l’exigence suit la personne plutôt que le bâtiment. Rien de ce que fait le routeur ne voyage avec l’appareil une fois qu’il est parti.

C’est ce partage qui tranche la plupart des cas : la couverture d’appareils fixes favorise le routeur, et la couverture d’une personne favorise une application. Tout ce qui mêle les deux a besoin des deux, et les deux demandent de l’entretien.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Peser maintenance et identité

Une installation sur routeur déplace les secrets, les mises à jour de micrologiciel et la politique de routage vers l’administrateur de la passerelle, et tend à donner à chaque appareil couvert une identité partagée. Une application donne à chaque appareil sa propre connexion, ses propres journaux et son propre profil, au prix de la gestion de plus de clients. L’identité partagée et l’identité par appareil sont des propositions différentes quand quelque chose doit être révoqué.

La capacité de traitement compte aussi, car un routeur servant plusieurs utilisateurs peut atteindre sa limite bien avant ce que suggère sa note Wi-Fi. Le débit ordinaire inscrit sur la boîte n’est pas un débit de tunnel.

Décidez aussi de ce qui doit se passer lorsque le tunnel échoue. Arrêter le trafic et revenir à la connexion ordinaire sont tous deux défendables, et la configuration DNS et pare-feu doit correspondre à ce que vous avez choisi.

Prévoir la panne

Gardez une sauvegarde sûre de la configuration de la passerelle et un moyen de restaurer l’administration qui ne dépende pas du fait que le tunnel soit actif. Une politique qui vous enferme hors de votre propre routeur est un problème plus difficile que la fuite qu’elle devait empêcher.

Le matériel géré par l’entreprise peut encore exiger son propre client approuvé, quoi que fasse le routeur domestique. Une sortie domestique ne peut pas donner accès à un réseau de bureau, quoi que dise la table de routage.

Combiner les deux arrangements est possible et parfois correct, mais chaque chemin supplémentaire est une chose de plus à configurer et à diagnostiquer. La documentation d’OpenWrt sur les rôles de serveur et de client VPN est une référence utile pour garder les deux séparés.