Cliente VPN no router ou modo servidor: que permite cada un

Entras no router, abres a páxina de VPN e atopas dúas pestanas que parecen a mesma función descrita dúas veces: unha quere un ficheiro de perfil doutro sitio, a outra quere que xeres certificados e escollas un porto. Non son dúas vistas dun mesmo axuste. Un rol fai que o router marque cara a fóra, o outro faino responder, e un equipo pode facer as dúas cousas sen que ningunha axude a outra. Aquí tes como ler o menú e decidir en que lado estás antes de activar nada.

Abre o menú de VPN e le os nomes dos roles

Comeza polos títulos das seccións e non polos interruptores. Unha pestana etiquetada como cliente ou «conectar a un servizo VPN» espera un perfil importado, un ficheiro de configuración ou un conxunto de credenciais emitidas por outra persoa. Unha pestana etiquetada como servidor espera que crees as identidades, escollas un protocolo e un porto e normalmente exportes un perfil para cada dispositivo que se vaia conectar.

Trata a frase de márketing da caixa como non verificada ata que o menú coincida con ela. «Compatible con VPN» pode significar un cliente, un servidor, un asistente de paso de protocolo que só reenvía paquetes a un dispositivo detrás do router, ou unha aplicación propietaria de acceso remoto sen ningún perfil estándar. A documentación do firmware é o único lugar que distingue eses casos, e o número de modelo da etiqueta non.

Modo cliente: a túa LAN sae pola saída doutra persoa

En modo cliente o router compórtase como un portátil cunha aplicación de VPN. Necesita un protocolo compatible, un perfil ou credenciais do operador remoto e unha decisión de encamiñamento sobre que dispositivos posteriores usan o túnel. Moitos firmwares ofrecen unha lista de políticas onde nomeas os enderezos de orixe ou as interfaces que se deben enviar polo túnel e deixas o resto na conexión normal.

A parte que falla en silencio é o lado remoto. O punto de conexión ao que te conectas debe reenviar tráfico de internet por ti e proporcionar unha ruta de retorno, e iso é unha política do provedor, non un axuste do teu router. Un menú que só ofrece modo servidor non pode construír este servizo cara a fóra por moito que se configure, e un provedor que só admite ligazóns entre sedes pode conectar o túnel con éxito pero descartar todo o que envíes por el.

Despois comproba como xestiona o túnel o DNS. Se o perfil empurra un resolutor, o router debería pasar ese resolutor aos clientes posteriores; se non o fai, os clientes seguen usando o resolutor do provedor de internet e resolven nomes fóra do túnel aínda que os paquetes vaian dentro. Unha comprobación rápida desde un portátil conectado: o enderezo que ves nunha páxina de eco de IP debería ser a saída, e o enderezo do resolutor en uso debería ser o que forneceu o túnel.

Modo servidor: alguén entra na túa LAN

O modo servidor inverte a dirección. O router escoita, o dispositivo viaxeiro conéctase, e logo o router decide a que recursos da casa pode chegar esa conexión. Este é o rol que queres para un NAS, unha máquina de laboratorio ou unha impresora, e ten unha precondición que o rol de cliente non ten: algo de fóra debe poder chegar ao oínte.

Esa precondición é onde se atascan a maioría das instalacións domésticas. Se o router está detrás da propia pasarela do provedor de internet, o porto VPN ten que reenviarse desde esa pasarela, ou hai que poñer o router en modo ponte ou DMZ. Detrás de NAT de nivel de operador non hai ningún porto entrante que reenviar, así que o deseño ten que cambiar: un túnel saínte do router cara a un relé, un punto de conexión aloxado ou un produto de malla. Un servidor ao que non se pode chegar non está mal configurado, é inalcanzable.

As identidades tamén cambian segundo o rol. Un perfil de cliente doméstico que o envía todo a unha saída de pago é un único segredo compartido, mentres que un servidor que admite tres teléfonos e un portátil necesita catro identidades que poidas revogar por separado. Os certificados e as chaves son por dispositivo, e a páxina de exportación do router debería darte un ficheiro por dispositivo en lugar dun ficheiro para toda a casa.

Comproba a implementación exacta antes de comprometerte

A documentación de Netgate sobre como escoller un rol de VPN separa os roles deste xeito, e paga a pena ler a páxina equivalente do teu firmware en lugar de deducilo dos nomes das pestanas. Busca tres feitos concretos: que protocolos pode falar o cliente, se o servidor admite o protocolo que usan os teus dispositivos e se a política de encamiñamento cobre enderezos de orixe, interfaces enteiras ou nada de nada.

Despois mira o límite de soporte. Un router de consumo con pestana de cliente pero sen lista de políticas enviará todos os dispositivos polo túnel, o que está ben para un aparello de streaming e mal para un portátil de traballo que necesita o túnel da oficina. Un router con pestana de servidor pero un só perfil compartido é unha ferramenta de laboratorio razoable e unha mala elección para unha familia, porque revogar un dispositivo significa cambiar a configuración de todos.

Escolle o rol segundo onde comeza o tráfico

Percorre a fila escollida de principio a fin antes de cambiar nada máis. Activa o rol, conecta un cliente, confirma o enderezo co que aparece, confirma que resolutor usa e confirma a ruta de retorno na dirección oposta. Se o router tamén ten unha páxina de devasado, comproba que a nova interface non quede bloqueada por unha regra predeterminada escrita cando o túnel aínda non existía.

Cando os dous roles están dispoñibles e o requisito é de verdade ambos, execútaos como funcións separadas con documentación separada. Un router pode marcar cara a fóra para a televisión e aceptar á vez unha conexión de teléfono ao NAS, pero as dúas políticas non deben compartir unha subrede, un axuste de DNS nin unha zona de devasado, ou o primeiro cambio que fagas para unha romperá a outra.