Teléfono fóra da VPN? Túnel no router ou cliente por dispositivo

O portátil está conectado á VPN, o teléfono está na mesma Wi-Fi e, aínda así, o teléfono navega desde o enderezo do ISP. Non é un fallo do cliente: un túnel vive na máquina que o termina e nada máis o herda por proximidade. A cobertura só se estende cando o router executa o cliente, ou cando unha máquina se converte a propósito en pasarela para a LAN. Que modelo quere decídese por tres cousas: o protocolo que o seu provedor fala de verdade, canto se deben tratar de xeito distinto os dispositivos e que fallo pode soportar ás nove da noite.

Que cobre realmente un túnel no router

Cando o túnel remata no router, todos os dispositivos que encamiñan a través del comparten a saída. Ese é o atractivo para un televisor, unha consola ou un electrodoméstico que nunca executará un cliente: nada que instalar, nada que manter actualizado e un só lugar onde cambiar de provedor.

A cobertura é condicional de formas que sorprenden. Unha rede de convidados ou un segundo SSID coa súa propia política toma a ruta que define esa política, non o túnel. Unha ruta IPv6 pode saltar un túnel que só transporta IPv4. Un dispositivo coa súa propia aplicación VPN ou co seu propio resolutor cifrado ignora o router por completo. E o tráfico propio do router, actualizacións e DNS incluídos, segue a súa política de saída, que é unha ruta distinta da do tráfico reenviado da LAN.

A verificación é a mesma en ambos os modelos e leva un minuto: pregunte a dous dispositivos que enderezo ve o mundo e despois revise a lista de conexións do router para ver o túnel. Se o teléfono informa do enderezo do ISP mentres o router mostra un túnel establecido, o teléfono non está a ser encamiñado por el, e ningunha reconexión cambiará iso.

Onde gaña o cliente por dispositivo

Os clientes por dispositivo gañan en canto os requisitos diverxen. Un portátil de traballo pode necesitar un túnel corporativo ao que o teléfono non debe unirse; un cliente de provedor pode ofrecer túnel dividido por aplicación, algo que un router non pode expresar; unha consola pode necesitar quedar fóra para manter o seu tipo de NAT. Ademais, cada dispositivo falla pola súa conta, así que unha subscrición caducada non silencia toda a casa.

As credenciais son o argumento máis afiado. Un router que se conecta en nome de todos sostén unha soa conta, e cada persoa desa rede herda o seu acceso. Se a intención é autenticar cada persoa antes do acceso a internet, un túnel no router por si só non pode facelo. O deseño habitual é un portal cativo que valida a conta e despois deixa o cliente nun túnel xa establecido, o que son máis pezas móbiles das que quere a maioría dos fogares.

O soporte de protocolos decide máis casos que a preferencia

Os routers de consumo só expoñen os protocolos que o fabricante incluíu. Un router con PPTP, L2TP ou IPsec simple non se pode conectar a un provedor que só publica perfís OpenVPN ou WireGuard, e ningunha configuración cambia iso. As opcións honestas son un provedor que fale un protocolo compatible, un router con OpenWrt ou outro firmware co cliente que necesita, ou un cliente en cada dispositivo.

O caso inverso é igual de común: un router compatible con OpenVPN non pode usar un provedor cuxo servizo depende dun cliente propietario e dos seus propios trucos de encamiñamento. Lea a páxina de protocolos compatibles do provedor antes de comprar hardware e comprobe a versión do firmware, porque «compatible con WireGuard» nunha páxina de produto adoita significar unha xeración concreta de firmware.

Un router de viaxe con cliente WireGuard é a versión barata do modelo de router e unha resposta razoable para unha manchea de dispositivos que non poden executar un cliente. Segue sendo un túnel no router, así que todo o anterior sobre redes de convidados, IPv6 e fallo compartido aplícase sen cambios.

A terceira opción: unha máquina como pasarela

Compartir un cliente desde un portátil é posible, e é o que a xente adoita querer dicir con converter o portátil nun router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funciona ata que a máquina se suspende, o cliente se reconecta a outro perfil ou o devasa da máquina descarta paquetes reenviados. Entón todo o que está detrás perde a conectividade á vez, e o fallo parece unha rede morta en lugar dun problema de VPN.

Para un laboratorio ou unha montaxe temporal está ben. Como arranxo permanente converte un portátil no único punto de fallo dun fogar, e adoita acabar con alguén preguntándose por que o televisor deixou de funcionar cando se pechou unha tapa.

Portos de entrada, DNS e o fallo que comparte

Os servizos de entrada móvense co túnel. Unha VPN no router adoita romper o reenvío de portos para un servidor da LAN, e un nome DNS dinámico debe apuntar á saída da VPN en lugar do enderezo do ISP se o servizo debe ser accesible polo túnel. Algúns provedores non ofrecen ningún enderezo de entrada encamiñable, o que remata en silencio con calquera plan que dependese dun.

O DNS segue o router cando o router é dono do túnel, o que é cómodo ata que un dispositivo necesita outro resolutor. Un cliente por dispositivo pode expresalo; unha política de router non pode sen partir a rede en dúas. O fallo tamén se comparte, porque unha caída, unha subscrición caducada ou unha ruta empurrada defectuosa desconectan cada dispositivo no mesmo momento.

Escolla o modelo de router cando os dispositivos non poidan executar clientes e unha soa saída sexa aceptable. Escolla clientes por dispositivo cando as políticas difiran, cando o provedor necesite un protocolo que o router non ten ou cando a conta non se deba compartir. Se unha máquina é a pasarela, anote que interface comparte que rede e probe o caso de túnel caído, porque ese é o estado no que a maioría destes deseños resultan estar mal.