VPN no router ou VPN no dispositivo: cal cobre que

Pór o túnel no router soa á opción máis ordenada ata que un portátil sae da casa. Unha aplicación no dispositivo soa máis sinxela ata que un televisor necesita cobertura e non pode executar ningunha. Os dous arranxos responden preguntas distintas. A comparación útil trata de onde entra o tráfico no túnel, non de cal é máis segura.

Que papel xoga o router

Un router pode actuar como servidor VPN para quen se conecta desde casa, como cliente para chegar a un servizo externo ou como ambas as dúas cousas á vez. Son funcións separadas con páxinas de configuración separadas, e o servidor por si só non envía nada a ningures. A navegación doméstica só cambia a saída cando un cliente está configurado cun perfil compatible. Ler o papel antes que o protocolo aforra unha tarde inútil.

Os nomes das funcións tampouco fan intercambiables os protocolos. Unha entrada de menú etiquetada VPN non lle di nada sobre o que espera o outro extremo.

Onde entra o tráfico no túnel

Un router aplica a súa política ao tráfico que cruza as interfaces e as regras que posúe, así que o Wi-Fi de convidados, unha segunda pasarela ou IPv6 poden comportarse cada un de forma distinta á rede principal. Probe os dispositivos que pretende cubrir cunha comprobación do enderezo público en lugar de supor que toda a casa está incluída. O tráfico tamén cruza a rede local antes de chegar ao router, así que a seguridade do Wi-Fi e o HTTPS propio da aplicación seguen tendo o seu peso habitual. O túnel comeza na pasarela, non no dispositivo.

Fóra da casa o panorama cambia por completo, porque un teléfono con datos móbiles xa non está detrás dese router. Un portátil co Wi-Fi dunha cafetaría necesita o seu propio cliente se o requisito segue a persoa e non o edificio. Nada do que fai o router viaxa co dispositivo cando este se vai.

Esta é a división que decide a maioría dos casos: a cobertura de dispositivos fixos favorece o router, e a cobertura dunha persoa favorece unha aplicación. Todo o que mistura as dúas cousas necesita ambas, e ambas necesitan mantemento.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Sopesar mantemento e identidade

Unha instalación con router traslada segredos, actualizacións de firmware e política de enrutamento ao administrador da pasarela, e adoita dar a cada dispositivo cuberto unha identidade compartida. Unha aplicación dá a cada dispositivo o seu propio inicio de sesión, os seus rexistros e o seu perfil, a cambio de xestionar máis clientes. A identidade compartida e a identidade por dispositivo son propostas distintas cando hai que revogar algo.

A capacidade de procesamento tamén conta, porque un router que atende varios usuarios pode acadar o seu límite moito antes do que suxire a súa cualificación de Wi-Fi. A cifra de rendemento habitual da caixa non é unha cifra de rendemento do túnel.

Decida tamén que debe ocorrer cando o túnel falla. Deter o tráfico e volver á conexión ordinaria son ambas opcións defendibles, e a configuración de DNS e cortalumes debe coincidir coa que escolleu.

Planificar a caída

Manteña unha copia de seguridade segura da configuración da pasarela e unha forma de restaurar a administración que non dependa de que o túnel estea activo. Unha política que o deixa fóra do seu propio router é un problema máis difícil que a fuga que debía evitar.

O equipamento xestionado polo traballo pode seguir esixindo o seu propio cliente aprobado, faga o que faga o router da casa. Unha saída doméstica non pode dar acceso a unha rede de oficina, diga o que diga a táboa de enrutamento.

Combinar os dous arranxos é posible e ás veces correcto, pero cada camiño adicional é outra cousa que configurar e diagnosticar. A documentación de OpenWrt sobre os papeis de servidor e cliente VPN é unha referencia útil para mantelos separados.