Un second routeur comme passerelle VPN : ce qu’il ne résout pas

Placer un second routeur derrière le principal est une façon propre de donner une autre sortie à quelques appareils. C’est aussi là que les gens attendent plus d’isolation que l’appareil n’en fournit. Le réseau principal conserve son chemin habituel, et le réseau en aval suit la politique du second routeur. Ce qui se passe entre eux, et ce qui se passe lorsque le tunnel tombe, est la partie qui mérite d’être planifiée.

L’installation fonctionne. Les mythes portent sur ce qu’elle protège. C’est toujours une conception utile ; simplement, ce n’est pas une frontière de sécurité à elle seule.

Mythe : le second routeur isole complètement le tunnel

Les appareils derrière la seconde passerelle suivent sa politique. Les appareils du réseau principal n’héritent pas de ce tunnel, et c’est le but. Mais le second routeur a toujours un chemin montant via le premier, et ce chemin est une relation qu’il faut gérer.

Le second routeur a aussi besoin d’un profil client VPN. Une fonction qui n’accepte que les connexions VPN entrantes ne crée pas de tunnel sortant vers un fournisseur. Vérifiez la prise en charge du client par le micrologiciel avant d’acheter le matériel.

Donnez au réseau en aval un sous-réseau qui ne se chevauche pas. Copier une plage d’exemple sans vérifier les réseaux existants est un moyen fiable de créer un casse-tête de routage.

Mythe : le double NAT n’est que l’encapsulation du VPN

Deux passerelles routées peuvent créer un double NAT, et cela est distinct de l’encapsulation propre au VPN. Le trafic sortant ordinaire fonctionne généralement. L’accès entrant aux services demande une conception délibérée, souvent une redirection de port sur les deux appareils ou une approche entièrement différente.

La couche de traduction supplémentaire rend aussi les journaux plus difficiles à lire. Une adresse source dans le journal du routeur principal peut appartenir au second routeur plutôt qu’à l’appareil que vous déboguez. Cela vaut la peine d’être su avant de courir après un appareil fantôme.

Écrivez le plan d’adressage avant d’allumer quoi que ce soit.

Mythe : la découverte passe parce que les deux LAN naviguent bien

Les deux réseaux peuvent naviguer sur Internet alors que la découverte entre eux échoue. Un téléphone sur le Wi-Fi principal peut ne pas trouver un téléviseur derrière la passerelle VPN, car la découverte multicast ne franchit pas une frontière routée par défaut. Si cela compte, il vous faut un réflecteur ou une autre topologie. Une navigation réussie ne prouve pas la découverte locale.

Gardez l’interface d’administration du second routeur joignable depuis un chemin autorisé sans la publier sur le WAN. Enregistrez la configuration des deux passerelles avant de modifier les routes.

Testez DNS et IPv6 ainsi que l’adresse de sortie visible. Un tunnel qui ne transporte qu’IPv4 peut fuiter l’autre famille. Écrivez les deux résultats dans le journal des changements.

Ce que la seconde passerelle vous apporte vraiment

Elle rend la portée visible. Vous pouvez pointer un appareil et dire quel réseau suit le tunnel, et le foyer conserve son chemin habituel. Cette clarté vaut le matériel supplémentaire pour beaucoup de foyers.

C’est encore un appareil de plus à maintenir, avec des identifiants, un micrologiciel et une procédure de récupération. Décidez si les appareils en aval doivent s’arrêter ou basculer lorsque le VPN tombe, et testez ce comportement. La passerelle ne supprime pas le travail d’exploitation ; elle le concentre. La recette du client pfSense WireGuard couvre le côté tunnel sur une plateforme courante.