Un segundo router como pasarela VPN: que non resolve

Pór un segundo router detrás do principal é unha forma limpa de darlle a uns poucos dispositivos unha saída distinta. É tamén onde a xente espera máis illamento do que o dispositivo ofrece. A rede principal conserva o seu camiño habitual, e a rede posterior segue a política do segundo router. O que acontece entre elas, e o que acontece cando o túnel falla, é a parte que merece planificación.

A instalación funciona. Os mitos tratan de que protexe. Segue sendo un deseño útil; sinxelamente non é unha fronteira de seguridade por si só.

Mito: o segundo router illa o túnel por completo

Os dispositivos detrás da segunda pasarela seguen a súa política. Os dispositivos da rede principal non herdan ese túnel, e diso se trata. Pero o segundo router aínda ten unha ruta ascendente a través do primeiro, e esa ruta é unha relación que hai que xestionar.

O segundo router tamén necesita un perfil de cliente VPN. Unha función que só acepta conexións VPN entrantes non crea un túnel saínte cara a un provedor. Comproba o soporte de cliente do firmware antes de comprar o hardware.

Dálle á rede posterior unha subrede que non se solape. Copiar un rango de exemplo sen comprobar as redes existentes é unha forma fiable de crear un crebacabezas de enrutamento.

Mito: o dobre NAT é só a encapsulación da VPN

Dúas pasarelas enrutadas poden crear dobre NAT, e iso é independente da encapsulación propia da VPN. O tráfico saínte ordinario adoita funcionar. O acceso entrante a servizos require un deseño deliberado, a miúdo unha redirección de porto nos dous dispositivos ou un enfoque completamente distinto.

A capa extra de tradución tamén fai que os rexistros sexan máis difíciles de ler. Un enderezo de orixe no rexistro do router principal pode pertencer ao segundo router en lugar do dispositivo que estás depurando. Válle a pena sabelo antes de perseguir un dispositivo fantasma.

Escribe o plan de enderezos antes de acender nada.

Mito: o descubrimento cruza porque ambas LAN navegan ben

Ambas as redes poden navegar por internet mentres o descubrimento entre elas falla. Un teléfono no Wi-Fi principal pode non atopar un televisor detrás da pasarela VPN, porque o descubrimento multicast non cruza unha fronteira enrutada de forma predeterminada. Se iso importa, necesitas un reflector ou unha topoloxía distinta. O éxito ao navegar non é proba de descubrimento local.

Mantén a interface de xestión do segundo router accesible desde unha ruta autorizada sen publicala na WAN. Garda a configuración de ambas as pasarelas antes de cambiar rutas.

Proba DNS e IPv6 ademais do enderezo de saída visible. Un túnel que só transporta IPv4 pode filtrar a outra familia. Escribe ambos os resultados no rexistro de cambios.

Que che achega realmente a segunda pasarela

Fai visible o alcance. Podes sinalar un dispositivo e dicir que rede segue o túnel, e o fogar conserva o seu camiño habitual. Esa claridade paga a pena o hardware extra en moitos fogares.

Segue sendo outro dispositivo que manter, con credenciais, firmware e un proceso de recuperación. Decide se os dispositivos posteriores deben deter ou volver cando falla a VPN, e proba ese comportamento. A pasarela non elimina o traballo operativo; concéntrao. A receita do cliente pfSense WireGuard cobre o lado do túnel nunha plataforma común.