Client VPN sul router o modalità server: cosa abilita ciascuno

Accedi al router, apri la pagina VPN e trovi due schede che sembrano la stessa funzione descritta due volte: una vuole un file di profilo da altrove, l’altra vuole che tu generi certificati e scelga una porta. Non sono due viste di un’unica impostazione. Un ruolo fa chiamare il router verso l’esterno, l’altro lo fa rispondere, e un solo dispositivo può fare entrambe le cose senza che l’una aiuti l’altra. Ecco come leggere il menu e decidere da che parte sei prima di attivare qualcosa.

Apri il menu VPN e leggi i nomi dei ruoli

Parti dai titoli delle sezioni, non dagli interruttori. Una scheda etichettata client o «connetti a un servizio VPN» si aspetta un profilo importato, un file di configurazione o un insieme di credenziali rilasciate da qualcun altro. Una scheda etichettata server si aspetta che tu crei le identità, scelga un protocollo e una porta e di solito esporti un profilo per ogni dispositivo che si collegherà.

Considera la frase di marketing sulla confezione come non verificata finché il menu non la conferma. «Supporta VPN» può significare un client, un server, un ausilio di passaggio del protocollo che inoltra solo pacchetti a un dispositivo dietro il router, o un’app di accesso remoto proprietaria senza alcun profilo standard. Solo la documentazione del firmware distingue questi casi, e il numero di modello sull’etichetta no.

Modalità client: la tua LAN esce dall’uscita di qualcun altro

In modalità client il router si comporta come un portatile con un’app VPN. Gli servono un protocollo compatibile, un profilo o credenziali dall’operatore remoto e una decisione di instradamento su quali dispositivi a valle usano il tunnel. Molti firmware offrono un elenco di criteri in cui nomini gli indirizzi di origine o le interfacce da inviare nel tunnel e lasci il resto sulla connessione normale.

La parte che fallisce in silenzio è il lato remoto. L’endpoint a cui ti colleghi deve inoltrare il traffico internet per te e fornire un percorso di ritorno, e questa è una policy del fornitore, non un’impostazione del tuo router. Un menu che offre solo la modalità server non può costruire questo servizio verso l’esterno, per quanto lo si configuri, e un fornitore che supporta solo collegamenti tra sedi può collegare il tunnel con successo ma scartare tutto ciò che ci invii.

Poi controlla come il tunnel gestisce il DNS. Se il profilo spinge un resolver, il router dovrebbe passarlo ai client a valle; se non lo fa, i client continuano a usare il resolver del provider e risolvono nomi fuori dal tunnel anche se i pacchetti passano dentro. Una verifica rapida da un portatile connesso: l’indirizzo che vedi su una pagina di echo IP dovrebbe essere l’uscita, e l’indirizzo del resolver in uso dovrebbe essere quello fornito dal tunnel.

Modalità server: qualcun altro arriva nella tua LAN

La modalità server inverte la direzione. Il router ascolta, il dispositivo in viaggio si collega, e poi il router decide quali risorse di casa quella connessione può raggiungere. È il ruolo che vuoi per un NAS, una macchina da laboratorio o una stampante, e ha un prerequisito che il ruolo client non ha: qualcosa dall’esterno deve poter raggiungere l’ascoltatore.

È su quel prerequisito che si bloccano la maggior parte delle installazioni domestiche. Se il router sta dietro il gateway del provider stesso, la porta VPN va inoltrata da quel gateway, oppure il router va messo in modalità bridge o DMZ. Dietro un NAT di livello operatore non c’è alcuna porta in ingresso da inoltrare, quindi il progetto deve cambiare: un tunnel in uscita dal router verso un relè, un endpoint ospitato o un prodotto mesh. Un server che non si raggiunge non è configurato male, è irraggiungibile.

Anche le identità cambiano secondo il ruolo. Un profilo client domestico che manda tutto a un’uscita a pagamento è un unico segreto condiviso, mentre un server che ammette tre telefoni e un portatile richiede quattro identità revocabili separatamente. Certificati e chiavi sono per dispositivo, e la pagina di esportazione del router dovrebbe darti un file per dispositivo invece di un file per tutta la casa.

Controlla l’implementazione esatta prima di impegnarti

La documentazione di Netgate sulla scelta di un ruolo VPN separa i ruoli in questo modo, e vale la pena leggere la pagina equivalente per il tuo firmware invece di dedurlo dai nomi delle schede. Cerca tre fatti concreti: quali protocolli sa parlare il client, se il server supporta il protocollo usato dai tuoi dispositivi e se la policy di instradamento copre indirizzi di origine, interfacce intere o nulla.

Poi guarda il confine di supporto. Un router consumer con la scheda client ma senza elenco di criteri manda ogni dispositivo nel tunnel, il che va bene per un box di streaming e male per un portatile da lavoro che ha bisogno del tunnel dell’ufficio. Un router con la scheda server ma un solo profilo condiviso è uno strumento da laboratorio ragionevole e una scelta scarsa per una famiglia, perché revocare un dispositivo significa cambiare la configurazione di tutti.

Scegli il ruolo in base a dove inizia il traffico

Percorri la riga scelta dall’inizio alla fine prima di cambiare altro. Attiva il ruolo, collega un client, conferma l’indirizzo con cui appare, conferma quale resolver usa e conferma il percorso di ritorno nella direzione opposta. Se il router ha anche una pagina del firewall, verifica che la nuova interfaccia non sia bloccata da una regola predefinita scritta quando il tunnel non esisteva.

Quando entrambi i ruoli sono disponibili e il requisito è davvero entrambi, gestiscili come funzioni separate con documentazione separata. Un router può chiamare verso l’esterno per la televisione e accettare nello stesso momento una connessione del telefono verso il NAS, ma le due policy non devono condividere una sottorete, un’impostazione DNS o una zona del firewall, altrimenti la prima modifica fatta per una romperà l’altra.