VPN בנתב או VPN במכשיר: מה מכסה מה

הצבת המנהרה בנתב נשמעת כמו הבחירה המסודרת יותר, עד שמחשב נייד יוצא מהבית. אפליקציה במכשיר נשמעת פשוטה יותר, עד שטלוויזיה זקוקה לכיסוי ואינה יכולה להריץ אחת. שני הסידורים עונים על שאלות שונות. ההשוואה המועילה עוסקת בשאלה היכן התעבורה נכנסת למנהרה, ולא בשאלה מה בטוח יותר.

איזה תפקיד ממלא הנתב

נתב יכול לשמש כשרת VPN לאנשים שמתחברים מהבית, כלקוח כדי להגיע לשירות חיצוני, או כשניהם בעת ובעונה אחת. אלה תכונות נפרדות עם עמודי הגדרה נפרדים, והשרת לבדו אינו שולח דבר לשום מקום. גלישה בבית משנה יציאה רק כאשר לקוח מוגדר עם פרופיל תואם. קריאת התפקיד לפני הפרוטוקול חוסכת אחר צהריים חסר תועלת.

גם שמות התכונות אינם הופכים פרוטוקולים לניתנים להחלפה. פריט תפריט המסומן VPN אינו אומר לכם דבר על מה שהצד השני מצפה לו.

היכן התעבורה נכנסת למנהרה

נתב מחיל את המדיניות שלו על תעבורה שחוצה את הממשקים והכללים שברשותו, ולכן Wi-Fi לאורחים, שער שני או IPv6 יכולים כל אחד להתנהג אחרת מהרשת הראשית. בדקו את המכשירים שאתם מתכוונים לכסות בבדיקת כתובת ציבורית במקום להניח שהבית כולו נכלל. התעבורה חוצה גם את הרשת המקומית לפני שהיא מגיעה לנתב, ולכן אבטחת ה-Wi-Fi וה-HTTPS של האפליקציה עצמה עדיין נושאים את משקלם הרגיל. המנהרה מתחילה בשער, לא במכשיר.

מחוץ לבית התמונה משתנה לגמרי, כי טלפון על נתונים סלולריים כבר אינו מאחורי הנתב הזה. מחשב נייד על Wi-Fi של בית קפה זקוק ללקוח משלו אם הדרישה עוקבת אחרי האדם ולא אחרי הבניין. שום דבר שהנתב עושה אינו נוסע עם המכשיר כשהוא יוצא.

זהו הפיצול שמכריע את רוב המקרים: כיסוי מכשירים נייחים מעדיף את הנתב, וכיסוי של אדם מעדיף אפליקציה. כל דבר שמערבב את השניים זקוק לשניהם, ושניהם זקוקים לתחזוקה.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

לשקול תחזוקה וזהות

הגדרת נתב מעבירה סודות, עדכוני קושחה ומדיניות ניתוב למנהל השער, ונוטה לתת לכל מכשיר מכוסה זהות משותפת אחת. אפליקציה נותנת לכל מכשיר את הכניסה שלו, את היומנים שלו ואת הפרופיל שלו, במחיר ניהול יותר לקוחות. זהות משותפת וזהות לכל מכשיר הן הצעות שונות כאשר צריך לבטל משהו.

גם יכולת העיבוד שייכת לכאן, כי נתב שמשרת כמה משתמשים יכול להגיע לגבול שלו הרבה לפני שדירוג ה-Wi-Fi שלו מרמז על כך. מספר התפוקה הרגיל על הקופסה אינו מספר תפוקה של מנהרה.

החליטו גם מה צריך לקרות כאשר המנהרה נכשלת. עצירת התעבורה וחזרה לחיבור הרגיל הן שתיהן הגנות סבירות, והגדרת ה-DNS וחומת האש חייבת להתאים למה שבחרתם.

לתכנן את ההפסקה

שמרו גיבוי מאובטח של הגדרת השער ודרך לשחזר ניהול שאינה תלויה בכך שהמנהרה פעילה. מדיניות שנועלת אתכם מחוץ לנתב שלכם היא בעיה קשה יותר מהדליפה שהיא נועדה למנוע.

ציוד המנוהל על ידי העבודה עשוי עדיין לדרוש לקוח מאושר משלו, יהיה אשר יהיה תפקידו של נתב הבית. יציאה ביתית אינה יכולה לספק גישה לרשת משרדית, יהא אשר יהא מה שטבלת הניתוב אומרת.

אפשר לשלב את שני הסידורים ולפעמים זה נכון, אבל כל נתיב נוסף הוא עוד דבר להגדיר ולאבחן. התיעוד של OpenWrt על תפקידי שרת ולקוח VPN הוא מקור שימושי להחזקת השניים בנפרד.