Telefono fuori dalla VPN? Tunnel sul router o client per dispositivo

Il portatile è connesso alla VPN, il telefono è sulla stessa Wi-Fi e il telefono naviga comunque dall'indirizzo dell'ISP. Non è un difetto del client: un tunnel vive sulla macchina che lo termina e nient'altro lo eredita per vicinanza. La copertura si estende solo quando il router esegue il client, oppure quando una macchina viene trasformata di proposito in gateway per la LAN. Quale modello si vuole lo decidono tre cose: il protocollo che il fornitore parla davvero, quanto diversamente vanno trattati i dispositivi e quale guasto si può sopportare alle nove di sera.

Che cosa copre davvero un tunnel sul router

Quando il tunnel termina sul router, ogni dispositivo che instrada attraverso di esso condivide l'uscita. È questo il richiamo per un televisore, una console o un elettrodomestico che non eseguirà mai un client: niente da installare, niente da tenere aggiornato e un solo punto in cui cambiare fornitore.

La copertura è condizionata in modi che sorprendono. Una rete per ospiti o un secondo SSID con una politica propria segue il percorso che quella politica definisce, non il tunnel. Un percorso IPv6 può aggirare un tunnel che trasporta solo IPv4. Un dispositivo con una propria app VPN o un proprio resolver cifrato ignora del tutto il router. E il traffico del router stesso, aggiornamenti e DNS compresi, segue la sua politica di uscita, che è un percorso diverso da quello del traffico inoltrato della LAN.

La verifica è identica nei due modelli e richiede un minuto: chiedete a due dispositivi quale indirizzo vede il mondo e poi controllate nell'elenco delle connessioni del router se il tunnel esiste. Se il telefono riporta l'indirizzo dell'ISP mentre il router mostra un tunnel stabilito, il telefono non vi è instradato, e nessuna riconnessione cambierà la cosa.

Dove vince il client per dispositivo

I client per dispositivo vincono appena i requisiti divergono. Un portatile di lavoro può aver bisogno di un tunnel aziendale a cui il telefono non deve unirsi; un client del fornitore può offrire tunnel diviso per applicazione, cosa che un router non sa esprimere; una console può dover restare fuori per mantenere il proprio tipo di NAT. Inoltre ogni dispositivo guasta per conto suo, così un abbonamento scaduto non ammutolisce tutta la casa.

Le credenziali sono l'argomento più affilato. Un router che si connette a nome di tutti detiene un solo account, e ogni persona su quella rete ne eredita l'accesso. Se l'intento è autenticare ogni persona prima dell'accesso a internet, un tunnel sul router da solo non può farlo. Il progetto abituale è un portale captive che convalida l'account e poi lascia il client in un tunnel già stabilito, il che sono più parti mobili di quante la maggior parte delle case voglia.

Il supporto dei protocolli decide più casi della preferenza

I router consumer espongono solo i protocolli forniti dal produttore. Un router con PPTP, L2TP o IPsec semplice non può connettersi a un fornitore che pubblica soltanto profili OpenVPN o WireGuard, e nessuna configurazione cambia questo. Le opzioni oneste sono un fornitore che parla un protocollo supportato, un router con OpenWrt o un altro firmware con il client che serve, oppure un client su ogni dispositivo.

Il caso opposto è altrettanto comune: un router compatibile OpenVPN non può usare un fornitore il cui servizio dipende da un client proprietario e dai suoi trucchi di instradamento. Leggete la pagina dei protocolli supportati del fornitore prima di comprare hardware e controllate la versione del firmware, perché «supporta WireGuard» su una pagina prodotto spesso significa una generazione specifica di firmware.

Un router da viaggio con client WireGuard è la versione economica del modello router e una risposta ragionevole per una manciata di dispositivi che non possono eseguire un client. Resta un tunnel sul router, quindi tutto quanto sopra su reti per ospiti, IPv6 e guasto condiviso vale senza modifiche.

La terza opzione: una macchina come gateway

Condividere un client da un portatile è possibile, ed è ciò che di solito si intende dicendo di trasformare il portatile in un router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funziona finché la macchina non va in sospensione, il client non si riconnette su un altro profilo o il firewall della macchina non scarta i pacchetti inoltrati. Allora tutto ciò che sta dietro perde la connettività insieme, e il guasto sembra una rete morta invece di un problema VPN.

Per un laboratorio o un allestimento temporaneo va bene. Come sistemazione permanente rende un portatile l'unico punto di guasto di una casa, e di solito finisce con qualcuno che si chiede perché il televisore abbia smesso di funzionare quando si è chiuso un coperchio.

Porte in ingresso, DNS e il guasto che si condivide

I servizi in ingresso si spostano con il tunnel. Una VPN sul router di solito rompe l'inoltro delle porte per un server della LAN, e un nome DNS dinamico deve puntare all'uscita della VPN invece che all'indirizzo dell'ISP se il servizio deve essere raggiungibile attraverso il tunnel. Alcuni fornitori non offrono alcun indirizzo in ingresso instradabile, il che chiude in silenzio qualsiasi piano che ne dipendesse.

Il DNS segue il router quando il router possiede il tunnel, il che è comodo finché un dispositivo non ha bisogno di un altro resolver. Un client per dispositivo può esprimerlo; una politica del router non può senza spezzare la rete in due. Anche il guasto è condiviso, perché un crash, un abbonamento scaduto o una rotta spinta difettosa scollegano ogni dispositivo nello stesso momento.

Scegliete il modello router quando i dispositivi non possono eseguire client e una sola uscita è accettabile. Scegliete client per dispositivo quando le politiche differiscono, quando il fornitore richiede un protocollo che il router non ha o quando l'account non va condiviso. Se una macchina è il gateway, annotate quale interfaccia condivide quale rete e provate il caso di tunnel caduto, perché è in quello stato che la maggior parte di questi progetti si rivela sbagliata.