VPN sul router o VPN sul dispositivo: quale copre cosa

Mettere il tunnel sul router sembra la scelta più ordinata finché un portatile non esce di casa. Un’app sul dispositivo sembra più semplice finché un televisore ha bisogno di copertura e non può eseguirne una. Le due soluzioni rispondono a domande diverse. Il confronto utile riguarda dove il traffico entra nel tunnel, non quale sia più sicura.

Che ruolo svolge il router

Un router può agire come server VPN per chi si collega da casa, come client per raggiungere un servizio esterno o come entrambe le cose insieme. Sono funzioni separate con pagine di configurazione separate, e il solo server non invia nulla da nessuna parte. La navigazione domestica cambia uscita solo quando un client è configurato con un profilo compatibile. Leggere il ruolo prima del protocollo risparmia un pomeriggio inutile.

Neanche i nomi delle funzioni rendono i protocolli intercambiabili. Una voce di menu etichettata VPN non vi dice nulla su ciò che l’altro capo si aspetta.

Dove il traffico entra nel tunnel

Un router applica la sua politica al traffico che attraversa le interfacce e le regole che possiede, quindi il Wi-Fi per gli ospiti, un secondo gateway o IPv6 possono comportarsi ciascuno diversamente dalla rete principale. Provate i dispositivi che intendete coprire con un controllo dell’indirizzo pubblico invece di supporre che tutta la casa sia inclusa. Il traffico attraversa anche la rete locale prima di raggiungere il router, quindi la sicurezza del Wi-Fi e l’HTTPS proprio dell’applicazione portano ancora il loro peso abituale. Il tunnel inizia al gateway, non al dispositivo.

Fuori casa il quadro cambia del tutto, perché un telefono con dati mobili non è più dietro quel router. Un portatile sul Wi-Fi di un bar ha bisogno del proprio client se il requisito segue la persona e non l’edificio. Nulla di ciò che fa il router viaggia con il dispositivo quando questo se ne va.

È questa la divisione che decide la maggior parte dei casi: la copertura di dispositivi fissi favorisce il router, e la copertura di una persona favorisce un’app. Tutto ciò che mescola le due cose ha bisogno di entrambe, ed entrambe vanno mantenute.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Pesare manutenzione e identità

Un’installazione su router sposta segreti, aggiornamenti del firmware e politica di routing sull’amministratore del gateway, e tende a dare a ogni dispositivo coperto un’identità condivisa. Un’app dà a ogni dispositivo il proprio accesso, i propri registri e il proprio profilo, al prezzo di gestire più client. Identità condivisa e identità per dispositivo sono proposte diverse quando qualcosa deve essere revocato.

Anche la capacità di elaborazione conta, perché un router che serve più utenti può raggiungere il suo limite molto prima di quanto suggerisca la sua valutazione Wi-Fi. Il numero di throughput ordinario sulla confezione non è un numero di throughput del tunnel.

Decidete anche cosa deve succedere quando il tunnel si guasta. Fermare il traffico e tornare alla connessione ordinaria sono entrambe opzioni difendibili, e la configurazione di DNS e firewall deve corrispondere a quella scelta.

Pianificare l’interruzione

Tenete un backup sicuro della configurazione del gateway e un modo per ripristinare l’amministrazione che non dipenda dal fatto che il tunnel sia attivo. Una politica che vi chiude fuori dal vostro stesso router è un problema più difficile della fuga che doveva impedire.

L’apparecchiatura gestita dal lavoro può comunque richiedere il proprio client approvato, qualunque cosa faccia il router di casa. Un’uscita domestica non può dare accesso a una rete d’ufficio, qualunque cosa dica la tabella di routing.

Combinare le due soluzioni è possibile e a volte corretto, ma ogni percorso aggiuntivo è un’altra cosa da configurare e diagnosticare. La documentazione di OpenWrt su i ruoli di server e client VPN è un riferimento utile per tenerli separati.